Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôle de l'accès aux alias

Lorsque vous créez ou modifiez un alias, vous affectez l'alias et la KMS clé qui lui est associée. Par conséquent, les responsables qui gèrent les alias doivent être autorisés à appeler l'opération d'alias sur l'alias et sur toutes les clés concernéesKMS. Vous pouvez fournir ces autorisations en utilisant des politiques, des IAMpolitiques et des subventions clés.

Pour plus d'informations sur le contrôle de l'accès à toutes les AWS KMS opérations, consultezRéférence des autorisations .

Les autorisations de création et de gestion des alias fonctionnent comme suit.

km : CreateAlias

Pour créer un alias, le principal doit disposer des autorisations suivantes à la fois pour l'alias et pour la KMS clé associée.

Vous pouvez utiliser des clés de condition pour limiter le nombre de KMS clés que vous pouvez associer à un alias. Par exemple, vous pouvez utiliser la clé de KeySpec condition kms : pour autoriser le principal à créer des alias uniquement sur des clés asymétriquesKMS. Pour obtenir la liste complète des clés de conditions que vous pouvez utiliser pour limiter l'kms:CreateAliasautorisation sur les ressources KMS clés, voirAWS KMS autorisations.

km : ListAliases

Pour répertorier les alias dans le compte et dans la région, le principal doit être kms:ListAliases autorisé dans une IAM politique. Comme cette politique n'est liée à aucune ressource KMS clé ou alias en particulier, la valeur de l'élément de ressource dans la stratégie doit être "*".

Par exemple, la déclaration de IAM politique suivante autorise le principal à répertorier toutes les KMS clés et tous les alias du compte et de la région.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "kms:ListKeys",
      "kms:ListAliases"
    ],
    "Resource": "*"
  }
}

km : UpdateAlias

Pour modifier la KMS clé associée à un alias, le principal a besoin de trois éléments d'autorisation : un pour l'alias, un pour la KMS clé actuelle et un pour la nouvelle KMS clé.

Supposons, par exemple, que vous souhaitiez remplacer l'test-keyalias de la KMS clé portant l'ID de clé 1234abcd-12ab-34cd-56ef-1234567890ab par celui de la clé d'ID 0987dcba-09fe-87dc-65ba-ab0987654321. KMS Dans ce cas, incluez des déclarations de politique similaires aux exemples de cette section.

Vous pouvez utiliser les touches de condition pour limiter l'une des KMS clés ou les deux dans une UpdateAlias opération. Par exemple, vous pouvez utiliser une clé de ResourceAliases condition kms : pour autoriser le principal à mettre à jour les alias uniquement lorsque la KMS clé cible possède déjà un alias particulier. Pour obtenir la liste complète des clés de conditions que vous pouvez utiliser pour limiter l'kms:UpdateAliasautorisation sur une ressource KMS clé, consultezAWS KMS autorisations.

km : DeleteAlias

Pour supprimer un alias, le principal a besoin d'une autorisation pour l'alias et pour la KMS clé associée.

Comme toujours, vous devez faire preuve de prudence lorsque vous autorisez les principaux à supprimer une ressource. Cependant, la suppression d'un alias n'a aucun effet sur la KMS clé associée. Bien que cela puisse provoquer un échec dans une application qui s'appuie sur l'alias, si vous supprimez un alias par erreur, vous pouvez le recréer.

Limitation des autorisations d'alias

Vous pouvez utiliser des clés de condition pour limiter les autorisations d'alias lorsque la ressource est une KMS clé. Par exemple, la IAM politique suivante autorise les opérations d'alias sur KMS les clés d'un compte et d'une région spécifiques. Cependant, il utilise la clé de KeyOrigin condition kms : pour limiter davantage les autorisations aux KMS clés dont le contenu clé provient de AWS KMS.

Pour obtenir la liste complète des clés de conditions que vous pouvez utiliser pour limiter l'autorisation d'alias sur une ressource KMS clé, consultezAWS KMS autorisations.

{
  "Sid": "IAMPolicyKeyPermissions",
  "Effect": "Allow",
  "Resource": "arn:aws:kms:us-west-2:111122223333:key/*",
  "Action": [
    "kms:CreateAlias",
    "kms:UpdateAlias",
    "kms:DeleteAlias"
  ],
  "Condition": {
    "StringEquals": {
      "kms:KeyOrigin": "AWS_KMS"
    }
  }  
}

Vous ne pouvez pas utiliser de clés de condition dans une instruction de politique où la ressource est un alias. Pour limiter les alias qu'un directeur peut gérer, utilisez la valeur de l'Resourceélément de la déclaration de IAM politique qui contrôle l'accès à l'alias. Par exemple, les déclarations de politique suivantes autorisent le principal à créer, mettre à jour ou supprimer n'importe quel alias dans la région Compte AWS et, sauf si l'alias commence parRestricted.

{
  "Sid": "IAMPolicyForAnAliasAllow",
  "Effect": "Allow",
  "Action": [
    "kms:CreateAlias",
    "kms:UpdateAlias",
    "kms:DeleteAlias"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:alias/*"
},
{
  "Sid": "IAMPolicyForAnAliasDeny",
  "Effect": "Deny",
  "Action": [
    "kms:CreateAlias",
    "kms:UpdateAlias",
    "kms:DeleteAlias"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:alias/Restricted*"
}