Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Melakukan konfigurasi AWS KMS kunci untuk AWS Dukungan otorisasi
## Persyaratan utama
Kunci yang dikelola pelanggan AWS KMS diperlukan untuk penandatanganan kriptografi izin dukungan. Kunci Anda harus memenuhi persyaratan berikut:
+ Spesifikasi kunci: `ECC_NIST_P384`
+ Penggunaan kunci: `SIGN_VERIFY`
+ Kuncinya harus berada di Wil AWS ayah yang sama dengan izin dukungan.
Materi kunci pribadi Anda tidak pernah pergi AWS KMS. Anda membuat hibah pada kunci Anda yang memungkinkannya untuk memanggil`DescribeKey`,`GetPublicKey`, dan`Sign`. Hibah dicakup oleh izin dukungan dan pensiun ketika izin dukungan dihapus atau dinonaktifkan.
## Bagaimana AWS Dukungan otorisasi menggunakan Anda AWS KMS kunci
Saat Anda membuat izin dukungan, AWS KMS kunci Anda digunakan dengan cara berikut:
1. Menggunakan [ sesi akses ter ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html) uskan untuk menelep `DescribeKey` on atas nama Anda, memverifikasi bahwa kunci memenuhi spesifikasi (`ECC_NIST_P384`) dan penggunaan (`SIGN_VERIFY`) yang diperlukan.
1. Membuat hibah pada kunci dengan menelep `CreateGrant` on atas nama Anda. Hibah memungkinkan`DescribeKey`,`GetPublicKey`, dan `Sign` operasi.
1. Memverifikasi otorisasi saat AWS Dukungan permintaan cocok dengan izin dukungan yang ada dengan menggunakan hibah untuk memang `Sign` gil kunci. Tanda tangan yang dihasilkan memverifikasi bahwa AWS Dukungan diotorisasi untuk melakukan tindakan.
## Pernyataan kebijakan utama yang diperlukan
Tambahkan pernyataan kebijakan berikut ke kebijakan AWS KMS utama Anda. Ini adalah izin minimum yang diperlukan untuk AWS Dukungan otorisasi untuk menggunakan kunci Anda.
```
{
"Sid": "Allows access to CreateGrant through SupportAuthZ",
"Effect": "Allow",
"Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleRole"},
"Action": ["kms:CreateGrant"],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:ViaService": "supportauthz.us-east-1.amazonaws.com",
"kms:GranteeServicePrincipal": "us-east-1.supportauthz.amazonaws.com",
"kms:RetiringServicePrincipal": "us-east-1.supportauthz.amazonaws.com"
},
"ForAllValues:StringEquals": {
"kms:GrantOperations": ["DescribeKey", "GetPublicKey", "Sign"]
},
"ArnLike": {
"kms:GrantConstraintSourceArn": "arn:aws:supportauthz:us-east-1:111122223333:supportpermit/*"
}
}
},
{
"Sid": "Allows access to DescribeKey through SupportAuthZ",
"Effect": "Allow",
"Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleRole"},
"Action": ["kms:DescribeKey"],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:ViaService": "supportauthz.us-east-1.amazonaws.com"
}
}
}
```
Pernyataan ini memberikan izin berikut:
CreateGrant
Memungkinkan pembuatan hibah untuk`DescribeKey`,`GetPublicKey`, dan `Sign` operasi. Ketentuan membatasi pembuatan hibah untuk permintaan yang dibuat melalui layanan AWS Dukungan otorisasi dan dicakup untuk mendukung sumber daya izin di akun Anda. AWS Dukungan otorisasi menggunakan sesi akses [ maju ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html) untuk menelepon `CreateGrant` sebagai bagian dari pembuatan izin dukungan.
DescribeKey
Memungkinkan verifikasi bahwa kunci memenuhi spesifikasi dan jenis penggunaan yang diperlukan saat Anda membuat izin dukungan menggunakan sesi akses maju.
**catatan**
Ganti `111122223333` dengan ID AWS akun Anda dan `us-east-1` dengan AWS Wilayah tempat Anda membuat izin dukungan.
## Mencabut AWS Dukungan akses otorisasi
Cara yang disarankan untuk mencabut izin penandatanganan pada kunci Anda adalah dengan mencabut hibah. Ini mencegah operasi penandatanganan lebih lanjut tanpa mempengaruhi penggunaan kunci lainnya.
Untuk membuat daftar dan mencabut hibah untuk AWS Dukungan otorisasi:
1. Daftar hibah pada kunci untuk menemukan ID hibah:
```
aws kms list-grants \
--key-id 1234abcd-12ab-34cd-56ef-1234567890ab
```
Identifikasi hibah dengan namanya atau `GrantConstraints` sumber ARN yang merujuk izin dukungan Anda.
1. Cabut hibah:
```
aws kms revoke-grant \
--key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
--grant-id grant-id-from-list-grants
```
Setelah Anda mencabut hibah, otorisasi baru yang ditandatangani tidak dapat lagi dikeluarkan untuk izin dukungan apa pun yang menggunakan kunci ini. Karena AWS KMS API mengikuti model konsistensi akhirnya, mungkin ada penundaan singkat sebelum perubahan tersedia secara keseluruhan AWS KMS.
**catatan**
Mencabut hibah tidak menghapus izin dukungan terkait. Izin dukungan tetap dalam keadaan AKTIF, tetapi otorisasi tidak dapat ditandatangani untuk itu. Hibah khusus untuk setiap izin dukungan. Membuat izin dukungan baru dengan AWS KMS kunci yang sama tidak mengembalikan kemampuan AWS Dukungan otorisasi untuk menggunakan kunci untuk izin dukungan asli.
## Menonaktifkan atau menghapus kunci
Anda juga dapat menonaktifkan atau menjadwalkan penghapusan AWS KMS kunci untuk mencegah AWS Dukungan otorisasi mengeluarkan otorisasi yang ditandatangani. Namun, ini mempengaruhi semua penggunaan kunci, bukan hanya AWS Dukungan otorisasi.
**penting**
Kedu AWS KMS anya dan AWS Dukungan otorisasi akhirnya konsisten. Setelah Anda menonaktifkan atau menjadwalkan penghapusan kunci, diperlukan waktu hingga beberapa menit agar perubahan diterapkan sepenuhnya. Selama periode ini, otorisasi yang ditandatangani mungkin terus dikeluarkan dengan menggunakan kunci. Pencabutan hibah juga pada akhirnya konsisten.
Jika Anda menonaktifkan kunci, maka Anda dapat mengaktifkannya kembali di AWS KMS konsol atau dengan menelep `EnableKey` on. Jika Anda menghapus kunci, kunci itu tidak dapat dipulihkan.
## Memantau penggunaan kunci
Saat AWS KMS kunci Anda digunakan untuk menandatangani otorisasi, catat AWS CloudTrail operasi penandatanganan di riwayat peristiwa kunci. Anda dapat menggunakan peristiwa ini untuk mengaudit kapan dan seberapa sering otorisasi ditandatangani atas nama Anda.