Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Autoriser les utilisateurs d'autres comptes à utiliser une KMS clé

Vous pouvez autoriser les utilisateurs ou les rôles d'un autre utilisateur Compte AWS à utiliser une KMS clé de votre compte. L'accès entre comptes nécessite une autorisation dans la politique clé de la KMS clé et dans une IAM politique du compte de l'utilisateur externe.

L'autorisation inter-comptes n'est effective que pour les opérations suivantes :

Si vous accordez à un utilisateur d'un autre compte des autorisations pour d'autres opérations, ces autorisations n'ont aucun effet. Par exemple, si vous accordez au principal d'un autre compte une ListKeys autorisation kms : dans une IAM politique, ou kms : une ScheduleKeyDeletion autorisation sur une KMS clé dans une politique clé, les tentatives de l'utilisateur pour appeler ces opérations sur vos ressources échouent toujours.

Pour plus de détails sur l'utilisation des KMS clés dans différents comptes pour les AWS KMS opérations, consultez la colonne Utilisation entre comptes dans le AWS KMS autorisations etUtilisation de KMS clés dans d'autres comptes. Il existe également une section sur l'utilisation entre comptes dans chaque API description de la AWS Key Management Service APIréférence.

Pour autoriser les utilisateurs et les rôles d'un autre compte à utiliser une KMS clé, vous devez utiliser deux types de politiques différents :

La politique des clés détermine qui peut avoir accès à la KMS clé. La IAM politique détermine qui a accès à la KMS clé. Ni la politique clé ni la IAM politique à elles seules ne suffisent ; vous devez modifier les deux.

Pour modifier la politique clé, vous pouvez utiliser la vue des politiques dans les opérations AWS Management Console ou utiliser les PutKeyPolicyopérations CreateKeyou.

Pour obtenir de l'aide concernant IAM les politiques de modification, voirUtilisation IAM de politiques avec AWS KMS.

Pour un exemple montrant comment la politique clé et IAM les politiques fonctionnent ensemble pour permettre l'utilisation d'une KMS clé dans un autre compte, voirExemple 2 : L'utilisateur assume un rôle avec l'autorisation d'utiliser une KMS clé dans un autre Compte AWS.

Vous pouvez consulter les AWS KMS opérations entre comptes qui en résultent sur la KMS clé de vos AWS CloudTrail journaux. Les opérations qui utilisent des KMS clés dans d'autres comptes sont enregistrées à la fois dans le compte de l'appelant et dans le compte du propriétaire des KMS clés.

Étape 1 : ajouter une déclaration de politique de clé dans le compte local

La politique clé d'une KMS clé est le principal déterminant qui peut accéder à la KMS clé et quelles opérations ils peuvent effectuer. La politique clé se trouve toujours dans le compte qui détient la KMS clé. Contrairement aux IAM politiques, les politiques clés ne spécifient pas de ressource. La ressource est la KMS clé associée à la politique clé. Lorsque vous accordez une autorisation entre comptes, la politique KMS clé relative à la clé doit autoriser le compte externe (ou les utilisateurs et les rôles du compte externe) à utiliser la KMS clé.

Pour autoriser un compte externe à utiliser la KMS clé, ajoutez une déclaration à la politique de clé qui spécifie le compte externe. Dans l'Principalélément de la politique clé, entrez le nom de ressource Amazon (ARN) du compte externe.

Lorsque vous spécifiez un compte externe dans une politique clé, IAM les administrateurs du compte externe peuvent utiliser des IAM politiques pour déléguer ces autorisations à tous les utilisateurs et rôles du compte externe. Ils peuvent également décider quelles sont les actions spécifiées dans la politique de clé que les utilisateurs et les rôles peuvent effectuer.

Les autorisations accordées au compte externe et à ses principaux ne sont effectives que si le compte externe est activé dans la région qui héberge la KMS clé et sa politique clé. Pour plus d'informations sur les régions qui ne sont pas activées par défaut (« Régions d'adhésion »), veuillez consulter Gestion de Régions AWS dans la Références générales AWS.

Supposons, par exemple, que vous souhaitiez autoriser le compte 444455556666 à utiliser une KMS clé de chiffrement symétrique dans le compte111122223333. Pour ce faire, ajoutez une déclaration de politique comme celle de l'exemple suivant à la politique clé pour la KMS clé en compte111122223333. Cette déclaration de politique autorise le compte externe à utiliser la KMS clé dans des opérations cryptographiques pour des clés de chiffrement KMS symétriques. 444455556666

{
    "Sid": "Allow an external account to use this KMS key",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::444455556666:root"
        ]
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}

Au lieu d'accorder l'autorisation au compte externe, vous pouvez spécifier des utilisateurs et des rôles externes spécifiques dans la politique de clé. Toutefois, ces utilisateurs et rôles ne peuvent pas utiliser la KMS clé tant que IAM les administrateurs du compte externe n'ont pas associé IAM les politiques appropriées à leur identité. Les IAM politiques peuvent accorder des autorisations à tous les utilisateurs et rôles externes ou à un sous-ensemble d'entre eux spécifiés dans la politique clé. Elles peuvent également autoriser tout ou partie des actions spécifiées dans la politique de clé.

La spécification des identités dans une politique clé limite les autorisations que IAM les administrateurs du compte externe peuvent fournir. Toutefois, cela rend la gestion des politiques avec deux comptes plus complexe. Par exemple, supposons que vous ayez besoin d'ajouter un utilisateur ou un rôle. Vous devez ajouter cette identité à la politique clé du compte propriétaire de la KMS clé et créer des IAM politiques dans le compte de l'identité.

Pour spécifier des utilisateurs ou des rôles externes particuliers dans une politique clé, dans l'Principalélément, entrez le nom de ressource Amazon (ARN) d'un utilisateur ou d'un rôle dans le compte externe.

Par exemple, l'exemple de déclaration de politique clé suivant permet 444455556666 à ExampleRole in account d'utiliser une KMS clé dans le compte111122223333. Cette déclaration de politique clé donne au compte externe l'autorisation d'utiliser la KMS clé dans les opérations cryptographiques pour les clés de chiffrement KMS symétriques. 444455556666

{
    "Sid": "Allow an external account to use this KMS key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::444455556666:role/ExampleRole"
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}

Vous devez également décider quelles autorisations vous souhaitez accorder au compte externe. Par exemple, vous pouvez autoriser les utilisateurs à déchiffrer mais pas à chiffrer, ou à afficher la KMS clé sans l'utiliser. Pour obtenir la liste des autorisations relatives aux KMS clés, consultezAWS KMS autorisations.

Étape 2 : ajouter des IAM politiques dans le compte externe

La politique clé du compte propriétaire de la KMS clé définit la plage d'autorisations valide. Toutefois, les utilisateurs et les rôles du compte externe ne peuvent pas utiliser la KMS clé tant que vous n'avez pas associé des IAM politiques déléguant ces autorisations ou utilisé des autorisations pour gérer l'accès à la KMS clé. Les IAM politiques sont définies dans le compte externe.

Si la politique clé autorise le compte externe, vous pouvez associer des IAM politiques à n'importe quel utilisateur ou rôle dans le compte. Mais si la politique clé donne des autorisations à des utilisateurs ou à des rôles spécifiques, elle ne peut accorder ces autorisations qu'à tous les utilisateurs et rôles spécifiés ou à un sous-ensemble d'entre eux. IAM Si une IAM politique donne un accès KMS clé à d'autres utilisateurs ou rôles externes, elle n'a aucun effet.

La politique clé limite également les actions de la IAM stratégie. La IAM politique peut déléguer la totalité ou un sous-ensemble des actions spécifiées dans la politique clé. Si la IAM politique répertorie des actions qui ne sont pas spécifiées dans la politique clé, ces autorisations ne sont pas effectives.

L'exemple de IAM politique suivant permet au principal d'utiliser la KMS clé en compte 111122223333 pour les opérations cryptographiques. Pour accorder cette autorisation aux utilisateurs et rôles du compte 444455556666, attachez la politique aux utilisateurs ou rôles du compte 444455556666.

{
    "Sid": "AllowUseOfKeyInAccount111122223333",
    "Effect": "Allow",
    "Action": [
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:ReEncrypt*",
      "kms:GenerateDataKey*",
      "kms:DescribeKey"
    ],
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
}

Notez les informations suivantes sur cette politique :

Pour plus d'informations sur l'utilisation des IAM politiques, consultezStratégies IAM.

Autoriser l'utilisation de KMS clés externes avec Services AWS

Vous pouvez autoriser un utilisateur d'un autre compte à utiliser votre KMS clé avec un service intégré à AWS KMS. Par exemple, un utilisateur d'un compte externe peut utiliser votre KMS clé pour chiffrer les objets d'un compartiment Amazon S3 ou pour chiffrer les secrets dans lesquels ils sont stockés. AWS Secrets Manager

La politique de clé doit autoriser l'utilisateur externe ou le compte de l'utilisateur externe à utiliser la KMS clé. En outre, vous devez associer à l'identité des IAM politiques qui autorisent l'utilisateur à utiliser le Service AWS. Le service peut également exiger que les utilisateurs disposent d'autorisations supplémentaires dans la politique ou la IAM politique clé. Pour obtenir la liste des autorisations Service AWS requises sur une clé gérée par le client, consultez la rubrique Protection des données dans le chapitre Sécurité du guide de l'utilisateur ou du guide du développeur du service.

Utilisation de KMS clés dans d'autres comptes

Si vous êtes autorisé à utiliser une KMS clé dans un autre Compte AWS, vous pouvez utiliser la KMS clé dans le AWS Management Console AWS SDKs, AWS CLI, et Outils AWS pour PowerShell.

Pour identifier une KMS clé dans un autre compte dans une commande ou une API demande du shell, utilisez les identificateurs de clé suivants.

Si vous entrez uniquement un identifiant de clé ou un nom d'alias, cela AWS suppose que la KMS clé se trouve dans votre compte.

La AWS KMS console n'affiche pas KMS les clés des autres comptes, même si vous êtes autorisé à les utiliser. De plus, les listes de KMS clés affichées dans les consoles des autres AWS services n'incluent pas KMS les clés des autres comptes.

Pour spécifier une KMS clé dans un autre compte dans la console d'un AWS service, vous devez saisir la clé ARN ou l'alias ARN de la KMS clé. L'identifiant de clé requis varie en fonction du service et peut varier selon la console de service et ses API opérations. Pour plus de détails, consultez la documentation du service.