Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Ce tableau est conçu pour vous aider à comprendre AWS KMS les autorisations afin que vous puissiez contrôler l'accès à vos AWS KMS ressources. Les définitions des en-têtes de colonne apparaissent sous le tableau.
Vous pouvez également en savoir plus sur AWS KMS les autorisations dans la AWS Key Management Service rubrique Actions, ressources et clés de condition de la référence d'autorisation de service. Toutefois, cette rubrique ne répertorie pas toutes les clés de condition que vous pouvez utiliser pour affiner chaque autorisation.
Pour plus d'informations sur les AWS KMS opérations valides pour les clés KMS de chiffrement symétriques, les clés KMS asymétriques et les clés KMS HMAC, consultez le. Référence des types de clés
Note
Vous devrez peut-être faire défiler horizontalement ou verticalement pour voir toutes les données de la table.
| Actions et autorisations | Type de stratégie | Utilisation inter-comptes | Ressources (pour les politiques IAM) | AWS KMS clés de condition |
|---|---|---|---|---|
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
| ConnectCustomKeyStore
|
Politique IAM | Non |
|
|
|
Pour utiliser cette opération, l'appelant doit avoir l'autorisation
Pour plus de détails, veuillez consulter Contrôle de l'accès aux alias. |
Politique IAM (pour l'alias) |
Non |
Alias |
Aucune (lorsque vous contrôlez l'accès à l'alias) |
|
Politique de clé (pour la clé KMS) |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
| CreateCustomKeyStore
|
Politique IAM | Non |
|
|
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions d'octroi : Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Politique IAM |
Non |
|
km : BypassPolicyLockoutSafetyCheck aws :RequestTag/tag-key (clé de condition AWS globale) aws :ResourceTag/tag-key (clé de condition AWS globale) aws : TagKeys (clé de condition AWS globale) |
|
|
Politique de clé |
Oui |
Clé KMS |
Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
Pour utiliser cette opération, l'appelant doit avoir l'autorisation
Pour plus de détails, veuillez consulter Contrôle de l'accès aux alias. |
Politique IAM (pour l'alias) |
Non |
Alias |
Aucune (lorsque vous contrôlez l'accès à l'alias) |
|
Politique de clé (pour la clé KMS) |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
| DeleteCustomKeyStore
|
Politique IAM | Non |
|
|
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
| DeriveSharedSecret
|
Stratégie de clé | Oui | Clé KMS | Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Conditions des opérations de chiffrement : |
| DescribeCustomKeyStores
|
Politique IAM | Non |
|
|
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
| DisconnectCustomKeyStore
|
Politique IAM | Non |
|
|
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Conditions de rotation automatique des touches : |
|
|
Politique de clé |
Oui |
Clé KMS |
Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Oui |
Clé KMS Génère une paire de clés de données asymétriques qui est protégée par une clé KMS de chiffrement symétrique. |
Conditions pour les paires de clés de données : Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
GenerateDataKeyPairWithoutPlaintext
|
Stratégie de clé |
Oui |
Clé KMS Génère une paire de clés de données asymétriques qui est protégée par une clé KMS de chiffrement symétrique. |
Conditions pour les paires de clés de données : Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
GenerateDataKeyWithoutPlaintext
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
| GenerateMac
|
Stratégie de clé | Oui | Clé KMS | Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Conditions des opérations de chiffrement : |
|
|
Politique IAM |
N/A |
|
Aucun |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : km : ExpirationModel |
|
|
Politique IAM |
Non |
|
Aucun |
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Politique IAM |
Non |
|
Aucun |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Politique IAM |
Le principal spécifié doit être dans le compte local, mais l'opération renvoie des octrois dans tous les comptes. |
|
Aucun |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
Pour utiliser cette opération, l'appelant doit avoir l'autorisation sur deux clés KMS :
|
Politique de clé |
Oui |
Clé KMS |
Conditions des opérations de chiffrement Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
Pour utiliser cette opération, l'appelant doit avoir les autorisations suivantes :
|
Politique de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
L'autorisation de retirer un octroi est déterminée principalement par l'octroi. Une politique seule ne peut pas autoriser l'accès à cette opération. Pour de plus amples informations, veuillez consulter Retrait et révocation d'octrois. |
Politique IAM (Cette autorisation n'est pas effective dans une politique de clé.) |
Oui |
Clé KMS |
Conditions du contexte de chiffrement : kms EncryptionContext : touche contextuelle Conditions d'octroi : Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Oui |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions : |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Politique de clé |
Oui |
Clé KMS |
Conditions de signature et de vérification : km : RequestAliasConditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Conditions d'étiquetage : aws :RequestTag/tag-key (clé de condition AWS globale) aws : TagKeys (clé de condition AWS globale) |
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Conditions d'étiquetage : aws :RequestTag/tag-key (clé de condition AWS globale) aws : TagKeys (clé de condition AWS globale) |
|
Pour utiliser cette opération, l'appelant doit avoir l'autorisation
Pour plus de détails, veuillez consulter Contrôle de l'accès aux alias. |
Politique IAM (pour l'alias) |
Non |
Alias |
Aucune (lorsque vous contrôlez l'accès à l'alias) |
|
Politique de clé (pour les clés KMS) |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
| UpdateCustomKeyStore
|
Politique IAM | Non |
|
|
|
|
Stratégie de clé |
Non |
Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
|
Pour utiliser cette opération, l'appelant doit avoir l'autorisation |
Politique de clé |
Non | Clé KMS |
Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Autres conditions |
|
|
Politique de clé |
Oui | Clé KMS |
Conditions de signature et de vérification : km : RequestAliasConditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) |
| VerifyMac
|
Stratégie de clé | Oui | Clé KMS | Conditions pour les opérations de clé KMS : aws :ResourceTag/tag-key (clé de condition AWS globale) Conditions des opérations de chiffrement : |
Descriptions des colonnes
Les colonnes de ce tableau fournissent les informations suivantes :
-
Actions et autorisations répertorie chaque opération AWS KMS d'API et l'autorisation qui autorise l'opération. Vous spécifiez l'opération dans l'élément
Actiond'une instruction de politique. -
Policy type (Type de politique) indique si l'autorisation peut être utilisée dans une politique de clé ou une politique IAM.
Key policy (Politique de clé) signifie que vous pouvez spécifier l'autorisation dans la politique de clé. Lorsque la politique de clé contient l'instruction de politique qui active les politiques IAM, vous pouvez spécifier l'autorisation dans une politique IAM.
IAM policy (Politique IAM) signifie que vous pouvez spécifier l'autorisation uniquement dans une politique IAM.
-
Cross-account use (Utilisation inter-comptes) indique les opérations que les utilisateurs autorisés peuvent effectuer sur des ressources dans un autre Compte AWS.
Une valeur de Yes (Oui) signifie que les principaux peuvent effectuer l'opération sur des ressources dans un autre Compte AWS.
Une valeur de No (Non) signifie que les principaux peuvent effectuer l'opération uniquement sur des ressources dans leur propre Compte AWS.
Si vous accordez à un principal dans un compte différent une autorisation qui ne peut pas être utilisée sur une ressource inter-comptes, l'autorisation n'est pas effective. Par exemple, si vous TagResource autorisez un mandant d'un autre compte KMS : à utiliser une clé KMS dans votre compte, ses tentatives de balisage de la clé KMS dans votre compte échoueront.
-
Resources répertorie les AWS KMS ressources auxquelles les autorisations s'appliquent. AWS KMS prend en charge deux types de ressources : une clé KMS et un alias. Dans une politique de clé, la valeur de l'élément
Resourceest toujours*, ce qui indique la clé KMS à laquelle la politique de clé est attachée.Utilisez les valeurs suivantes pour représenter une AWS KMS ressource dans une politique IAM.
- Clé KMS
-
Lorsque la ressource est une clé KMS, utilisez son ARN de clé. Pour obtenir de l'aide, veuillez consulter Trouvez l'ID et l'ARN de la clé.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDPar exemple :
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Lorsque la ressource est un alias, utilisez son ARN d'alias. Pour obtenir de l'aide, veuillez consulter Trouvez le nom d'alias et l'ARN de l'alias pour une clé KMS.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_namePar exemple :
arn:aws:kms:us-west- 2:111122223333 : alias/ ExampleAlias
*(astérisque)-
Lorsque l'autorisation ne s'applique pas à une ressource particulière (clé KMS ou alias), utilisez un astérisque (
*).Dans une politique IAM pour une AWS KMS autorisation, un astérisque dans l'
Resourceélément indique toutes les AWS KMS ressources (clés KMS et alias). Vous pouvez également utiliser un astérisque dans l'Resourceélément lorsque l' AWS KMS autorisation ne s'applique à aucune clé ou alias KMS en particulier. Par exemple, lorsque vous autorisezkms:CreateKeyou refusez unekms:ListKeysautorisation, vous devez définir l'Resourceélément sur*.
-
AWS KMS les clés de AWS KMS condition répertorient les clés de condition que vous pouvez utiliser pour contrôler l'accès à l'opération. Vous spécifiez des conditions dans l'élément
Conditiond'une politique. Pour de plus amples informations, veuillez consulter AWS KMS clés de condition. Cette colonne inclut également les clés de condition AWS globales qui sont prises en charge par tous les AWS services AWS KMS, mais pas par tous.
