Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

politique de clé par défaut

Lorsque vous créez une KMS clé, vous pouvez définir la politique de clé pour la nouvelle KMS clé. Si vous n'en fournissez pas, AWS KMS créez-en un pour vous. La politique de clé par défaut AWS KMS utilisée varie selon que vous créez la clé dans la AWS KMS console ou que vous utilisez le AWS KMS API.

Politique de clé par défaut lorsque vous créez une KMS clé par programmation

Lorsque vous créez une KMS clé par programmation avec le AWS KMS API(y compris en utilisant le AWS Command Line Interfaceou AWS Tools for PowerShell) AWS SDKs, et que vous ne spécifiez pas de politique clé, AWS KMS applique une politique de clé par défaut très simple. Cette politique de clé par défaut comporte une déclaration de politique qui donne au Compte AWS propriétaire de la KMS clé l'autorisation d'utiliser des IAM politiques pour autoriser l'accès à toutes les AWS KMS opérations sur la KMS clé. Pour plus d'informations sur cette instruction de politique, consultez la rubrique Autorise l'accès aux IAM politiques Compte AWS et les active.

Politique de clé par défaut lorsque vous créez une KMS clé avec le AWS Management Console

Lorsque vous créez une KMS clé avec le AWS Management Console, la politique clé commence par la déclaration de politique qui autorise l'accès aux IAM politiques Compte AWS et les active. La console ajoute ensuite une instruction d'administrateur clé, une instruction d'utilisateur clé et (pour la plupart des types de clés) une instruction qui permet aux principaux d'utiliser la KMS clé avec d'autres AWS services. Vous pouvez utiliser les fonctionnalités de la AWS KMS console pour spécifier les IAM utilisateursIAMroles, et Comptes AWS qui sont les principaux administrateurs et ceux qui le sont (ou les deux).

Autorisations

Autorise l'accès aux IAM politiques Compte AWS et les active

L'instruction de politique de clé par défaut suivante est extrêmement importante.

La déclaration de politique clé suivante est la politique clé complète par défaut pour les KMS clés créées par programmation. Il s'agit de la première déclaration de politique de la politique clé par défaut pour KMS les clés créées dans la AWS KMS console.

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

Permet aux administrateurs clés d'administrer la KMS clé

La politique clé par défaut créée par la console vous permet de choisir IAM les utilisateurs et les rôles du compte et d'en faire des administrateurs clés. Cette instruction est appelée l'instruction des administrateurs de clé. Les administrateurs de clés sont autorisés à gérer la KMS clé, mais pas à l'utiliser dans le KMS cadre d'opérations cryptographiques. Vous pouvez ajouter des IAM utilisateurs et des rôles à la liste des administrateurs clés lorsque vous créez la KMS clé dans la vue par défaut ou dans la vue des politiques.

L'exemple suivant montre l'instruction des administrateurs de clé dans la vue par défaut de la console AWS KMS .

Voici un exemple d'instruction des administrateurs de clés dans la vue de politique de la console AWS KMS . Cette déclaration des administrateurs de clés concerne une clé de chiffrement KMS symétrique à région unique.

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion",
    "kms:RotateKeyOnDemand"
  ],
  "Resource": "*"
}

L'instruction par défaut des administrateurs de clés pour la KMS clé la plus courante, une KMS clé de chiffrement symétrique à région unique, autorise les autorisations suivantes. Pour plus d'informations sur ces autorisations, veuillez consulter la AWS KMS autorisations.

Lorsque vous utilisez la AWS KMS console pour créer une KMS clé, celle-ci ajoute les utilisateurs et les rôles que vous spécifiez à l'Principalélément figurant dans la déclaration des administrateurs clés.

Un grand nombre de ces autorisations contiennent le caractère générique (*), qui octroie toutes les autorisations commençant par le verbe spécifié. Par conséquent, lors de l' AWS KMS ajout de nouvelles API opérations, les administrateurs clés sont automatiquement autorisés à les utiliser. Il n'est pas nécessaire de mettre à jour vos politiques de clé pour inclure les nouvelles opérations. Si vous préférez limiter vos administrateurs principaux à un ensemble fixe d'APIopérations, vous pouvez modifier votre politique en matière de clés.

 

AWS KMS ajoute les autorisations suivantes à la déclaration par défaut des administrateurs de clés lorsque vous créez des clés spécifiques.

Permet aux principaux utilisateurs d'utiliser la KMS clé

La politique de clés par défaut créée par la console pour les KMS clés vous permet de choisir des IAM utilisateurs et IAM des rôles dans le compte, ainsi que des utilisateurs externes Comptes AWS, et d'en faire des utilisateurs clés.

La console ajoute deux instructions de politique à la politique de clé pour les utilisateurs de clés.

Vous pouvez ajouter des IAM utilisateurs, IAM des rôles et d'autres utilisateurs Comptes AWS à la liste des utilisateurs clés lorsque vous créez la KMS clé. Vous pouvez aussi modifier la liste avec la vue par défaut de la console pour les politiques de clé, comme illustré dans l'image suivante. La vue par défaut pour les politiques de clé est sur la page des détails de la clé. Pour plus d'informations sur la manière d'autoriser les utilisateurs d'autres utilisateurs Comptes AWS à utiliser la KMS clé, consultezAutoriser les utilisateurs d'autres comptes à utiliser une KMS clé.

Les instructions par défaut des utilisateurs de clé d'une clé symétrique à région unique octroient les autorisations suivantes. Pour plus d'informations sur ces autorisations, veuillez consulter la AWS KMS autorisations.

Lorsque vous utilisez la AWS KMS console pour créer une KMS clé, celle-ci ajoute les utilisateurs et les rôles que vous spécifiez à l'Principalélément figurant dans la déclaration de chaque utilisateur clé.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Permet aux utilisateurs clés d'utiliser une KMS clé pour des opérations cryptographiques

Les utilisateurs de clés sont autorisés à utiliser la KMS clé directement dans toutes les opérations cryptographiques prises en charge sur la KMS clé. Ils peuvent également utiliser l'DescribeKeyopération pour obtenir des informations détaillées sur la KMS clé dans la AWS KMS console ou en utilisant les AWS KMS API opérations.

Par défaut, la AWS KMS console ajoute à la politique clé par défaut des instructions relatives aux utilisateurs clés telles que celles des exemples suivants. Comme elles prennent en charge différentes API opérations, les actions prévues dans les déclarations de politique pour les clés de chiffrement symétriques, KMS les HMAC KMS clés, les clés asymétriques KMS pour le chiffrement par clé publique et les KMS clés asymétriques pour la signature et la vérification sont légèrement différentes.

Les actions de ces instructions donnent aux utilisateurs de clé les autorisations suivantes.

Permet aux utilisateurs clés d'utiliser la KMS clé avec les AWS services

La politique clé par défaut de la console donne également aux utilisateurs clés les autorisations dont ils ont besoin pour protéger leurs données dans les AWS services utilisant des autorisations. AWS les services ont souvent recours à des subventions pour obtenir une autorisation spécifique et limitée d'utilisation d'une KMS clé.

Cette déclaration de politique clé permet à l'utilisateur clé de créer, de consulter et de révoquer des autorisations sur la KMS clé, mais uniquement lorsque la demande d'opération d'autorisation provient d'un AWS service intégré à AWS KMS. La condition de GrantIsFor AWSResource politique kms : ne permet pas à l'utilisateur d'appeler directement ces opérations de subvention. Lorsque l'utilisateur clé l'autorise, un AWS service peut créer une autorisation au nom de l'utilisateur qui permet au service d'utiliser la KMS clé pour protéger les données de l'utilisateur.

Les utilisateurs clés ont besoin de ces autorisations pour utiliser leur KMS clé avec les services intégrés, mais ces autorisations ne sont pas suffisantes. Les utilisateurs de clés ont également besoin d'une autorisation pour utiliser les services intégrés. Pour en savoir plus sur l'accès des utilisateurs à un AWS service intégré AWS KMS, consultez la documentation du service intégré.

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Par exemple, les utilisateurs clés peuvent utiliser ces autorisations sur la KMS clé de la manière suivante.

La politique de clé par défaut permet aux utilisateurs clés de déléguer leur autorisation d'octroi à tous les services intégrés qui utilisent des octrois. Cependant, vous pouvez créer une politique clé personnalisée qui limite l'autorisation à des AWS services spécifiques. Pour plus d'informations, reportez-vous à la clé de condition km : ViaService.