Contrôler l'accès à la suppression des clés

1. Connectez-vous à la console AWS Key Management Service (AWS KMS) AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/kms.

2. Pour modifier le Région AWS, utilisez le sélecteur de région dans le coin supérieur droit de la page.

3. Dans le volet de navigation, sélectionnez Clés gérées par le client.

4. Choisissez l'alias ou l'ID de clé de la clé KMS dont vous voulez modifier les autorisations.

5. Choisissez l'onglet Key policy (Politique de clé).

6. L'étape suivante diffère en ce qui concerne l'affichage par défaut et l'affichage des politiques de votre politique de clé. La vue par défaut n'est disponible que si vous utilisez la politique de clé de console par défaut. Dans le cas contraire, seul l'affichage des politiques est disponible.

   Lorsque la vue par défaut est disponible, un bouton Switch to policy view (Passer à la vue de politique) ou Switch to default view (Passer à la vue par défaut) apparaît dans l'onglet Key policy (Politique de clé).

   • Dans la vue par défaut :

     1. Sous Key deletion (Suppression de clé), sélectionnez Allow key administrators to delete this key (Autoriser les administrateurs de clé à supprimer cette clé).

   • Dans la vue de politique :

     1. Choisissez Edit (Modifier).

     2. Dans l'instruction de politique destinée aux administrateurs de clés, ajoutez les autorisations kms:ScheduleKeyDeletion et kms:CancelKeyDeletion à l'élément Action.

        {
          "Sid": "Allow access for Key Administrators",
          "Effect": "Allow",
          "Principal": {"AWS": "arn:aws:iam::111122223333:user/KMSKeyAdmin"},
          "Action": [
            "kms:Create*",
            "kms:Describe*",
            "kms:Enable*",
            "kms:List*",
            "kms:Put*",
            "kms:Update*",
            "kms:Revoke*",
            "kms:Disable*",
            "kms:Get*",
            "kms:Delete*",
            "kms:ScheduleKeyDeletion",
            "kms:CancelKeyDeletion"
          ],
          "Resource": "*"
        }

     3. Sélectionnez Enregistrer les modifications.

Pour ajouter une autorisation pour planifier et annuler une suppression de clé

1. Utilisez la commande aws kms get-key-policy pour récupérer la politique de clé existante, puis enregistrez le document de politique dans un fichier.

2. Ouvrez le document de stratégie dans votre éditeur de texte préféré. Dans l'instruction de politique destinée aux administrateurs de clés, ajoutez les autorisations kms:ScheduleKeyDeletion et kms:CancelKeyDeletion. L'exemple suivant montre une déclaration de politique avec les deux autorisations suivantes :

   {
     "Sid": "Allow access for Key Administrators",
     "Effect": "Allow",
     "Principal": {"AWS": "arn:aws:iam::111122223333:user/KMSKeyAdmin"},
     "Action": [
       "kms:Create*",
       "kms:Describe*",
       "kms:Enable*",
       "kms:List*",
       "kms:Put*",
       "kms:Update*",
       "kms:Revoke*",
       "kms:Disable*",
       "kms:Get*",
       "kms:Delete*",
       "kms:ScheduleKeyDeletion",
       "kms:CancelKeyDeletion"
     ],
     "Resource": "*"
   }

3. Utilisez la commande aws kms put-key-policy pour appliquer la politique de clé à la clé KMS.