Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
AWS KMS permisos
Esta tabla está diseñada para ayudarle a entender AWS KMS los permisos para que pueda controlar el acceso a sus AWS KMS recursos. Las definiciones de los títulos de las columnas aparecen bajo la tabla.
También puede obtener información sobre AWS KMS los permisos en las claves de acciones, recursos y condición del AWS Key Management Service tema de la Referencia de autorización de servicios. Sin embargo, ese tema no enumera todas las claves de condición que puede utilizar para limitar cada permiso.
Para obtener más información sobre qué AWS KMS operaciones son válidas para las claves de cifrado simétricas, KMS las claves asimétricas y KMS las HMAC KMS claves, consulte la. Referencia de tipos de claves
nota
Es posible que tenga que desplazarse en forma horizontal o vertical para ver todos los datos de la tabla.
| Acciones y permisos | Tipo de política | Uso entre cuentas | Recursos (para IAM políticas) | AWS KMS claves de condición |
|---|---|---|---|---|
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
| ConnectCustomKeyStore
|
IAMpolítica | No |
|
|
|
Para utilizar esta operación, el intermediario necesita permiso
Para obtener más información, consulte Control del acceso a alias. |
Política de IAM (para el alias) |
No |
Alias |
Ninguno (cuando se controla el acceso al alias) |
|
Política clave (para la KMS clave) |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
| CreateCustomKeyStore
|
IAMpolítica | No |
|
|
|
|
Política de claves |
Sí |
KMSclave |
Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones de concesión: Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
IAMpolítica |
No |
|
km: BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (clave de condición AWS global) aws:ResourceTag/tag-key (clave de condición global)AWS aws: TagKeys (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
Para utilizar esta operación, el intermediario necesita permiso
Para obtener más información, consulte Control del acceso a alias. |
Política de IAM (para el alias) |
No |
Alias |
Ninguno (cuando se controla el acceso al alias) |
|
Política clave (para la KMS clave) |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
| DeleteCustomKeyStore
|
IAMpolítica | No |
|
|
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
| DedriveSharedSecret
|
Política de claves | Sí | KMSclave | Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Condiciones para operaciones criptográficas: |
| DescribeCustomKeyStores
|
IAMpolítica | No |
|
|
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
| DisconnectCustomKeyStore
|
IAMpolítica | No |
|
|
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Condiciones de rotación automática de claves: |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave Genera un par de claves de datos asimétricas que está protegido por una clave de cifrado KMS simétrica. |
Condiciones para pares de claves de datos: Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
GenerateDataKeyPairWithoutPlaintext
|
Política de claves |
Sí |
KMSclave Genera un par de claves de datos asimétricas que está protegido por una clave de cifrado KMS simétrica. |
Condiciones para pares de claves de datos: Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
GenerateDataKeyWithoutPlaintext
|
Política de claves |
Sí |
KMSclave |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
| GenerateMac
|
Política de claves | Sí | KMSclave | Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Condiciones para operaciones criptográficas: |
|
|
IAMpolítica |
N/A |
|
Ninguna |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: km: ExpirationModel |
|
|
IAMpolítica |
No |
|
Ninguna |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
IAMpolítica |
No |
|
Ninguna |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
IAMpolítica |
La principal entidad especificada debe estar en la cuenta local, pero la operación devuelve concesiones en todas las cuentas. |
|
Ninguna |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
Para utilizar esta operación, la persona que llama necesita permiso para utilizar dos KMS teclas:
|
Política de claves |
Sí |
KMSclave |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
Para utilizar esta operación, la persona que llama necesita estos permisos:
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
El permiso para retirar una concesión se determina principalmente por la concesión. Una política por sí sola no puede permitir el acceso a esta operación. Para obtener más información, consulte Retiro y revocación de concesiones. |
IAMpolítica (Este permiso no es efectivo en una política de clave.) |
Sí |
KMSclave |
Condiciones de contexto de cifrado: kmsEncryptionContext: clave de contexto Condiciones de concesión: Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones: |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
Sí |
KMSclave |
Condiciones para la firma y la verificación: km: RequestAliasCondiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Condiciones para el etiquetado: aws:RequestTag/tag-key (clave de condición AWS global) aws: TagKeys (clave de condición AWS global) |
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Condiciones para el etiquetado: aws:RequestTag/tag-key (clave de condición AWS global) aws: TagKeys (clave de condición AWS global) |
|
Para utilizar esta operación, el intermediario necesita permiso
Para obtener más información, consulte Control del acceso a alias. |
Política de IAM (para el alias) |
No |
Alias |
Ninguno (cuando se controla el acceso al alias) |
|
Política de claves (para las KMS claves) |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
| UpdateCustomKeyStore
|
IAMpolítica | No |
|
|
|
|
Política de claves |
No |
KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
|
Para utilizar esta operación, la persona que llama necesita permiso |
Política de claves |
No | KMSclave |
Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Otras condiciones |
|
|
Política de claves |
Sí | KMSclave |
Condiciones para la firma y la verificación: km: RequestAliasCondiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) |
| VerifyMac
|
Política de claves | Sí | KMSclave | Condiciones para las operaciones KMS clave: aws:ResourceTag/tag-key (clave de condición AWS global) Condiciones para operaciones criptográficas: |
Descripciones de las columnas
Las columnas de esta tabla proporcionan la siguiente información:
-
Acciones y permisos muestra cada AWS KMS API operación y el permiso que permite la operación. Especifique la operación en el elemento
Actionde una declaración de política. -
El tipo de política indica si el permiso se puede usar en una política o IAM política clave.
Política de claves significa que puede especificar el permiso en la política de claves. Cuando la política clave contiene la declaración de política que habilita IAM las políticas, puede especificar el permiso en una IAM política.
IAMpolítica significa que solo puede especificar el permiso en una IAM política.
-
Uso entre cuentas muestra las operaciones que los usuarios autorizados pueden realizar en recursos de una Cuenta de AWS diferente.
Un valor de Yes (Sí) significa que las entidades principales pueden realizar la operación en los recursos en una Cuenta de AWS diferente.
Un valor de No significa que las principales entidades pueden realizar la operación solo en recursos en sus propios Cuenta de AWS.
Si otorga a una entidad principal de una cuenta diferente un permiso que no se puede utilizar en un recurso entre cuentas, el permiso no será efectivo. Por ejemplo, si le das TagResource permiso a un director de una cuenta diferente para usar una KMS clave de tu cuenta, sus intentos de etiquetar la KMS clave de tu cuenta fallarán.
-
Recursos muestra los AWS KMS recursos a los que se aplican los permisos. AWS KMS admite dos tipos de recursos: una KMS clave y un alias. En una política clave, el valor del
Resourceelemento es siempre*, lo que indica la KMS clave a la que está asociada la política clave.Utilice los siguientes valores para representar un AWS KMS recurso en una IAM política.
- KMSclave
-
Cuando el recurso sea una KMS clave, utilice su clave ARN. Para obtener ayuda, consulte Encontrar el ID de clave y el ARN de clave.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDPor ejemplo:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Cuando el recurso sea un alias, utilice su alias ARN. Para obtener ayuda, consulte Busque el nombre del alias y el alias ARN de una KMS clave.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_namePor ejemplo:
arn:aws:kms:us-west- 2:111122223333:alias/ ExampleAlias
*(asterisco)-
Si el permiso no se aplica a un recurso concreto (clave o alias), usa un asterisco (). KMS
*En una IAM política de AWS KMS permisos, un asterisco en el
Resourceelemento indica todos los AWS KMS recursos (KMSclaves y alias). También puedes usar un asterisco en elResourceelemento cuando el AWS KMS permiso no se aplique a ninguna KMS clave o alias en particular. Por ejemplo, al permitirkms:CreateKeyo denegar unkms:ListKeyspermiso, debes establecer elResourceelemento en.*
-
AWS KMS las claves de AWS KMS condición enumeran las claves de condición que puede utilizar para controlar el acceso a la operación. Las condiciones se especifican en un elemento
Conditionde la política. Para obtener más información, consulte AWS KMS claves de condición. Esta columna también incluye las claves de condición AWS globales que son compatibles con todos los AWS servicios AWS KMS, pero no con todos ellos.
