Menerapkan izin yang paling tidak memiliki hak istimewa

Administrator toko utama bertanggung jawab untuk membuat dan mengelola toko kunci dan kunci cabang yang bertahan dan dilindungi. Administrator toko utama harus menjadi satu-satunya pengguna dengan izin menulis ke tabel Amazon DynamoDB yang berfungsi sebagai toko kunci Anda. Mereka harus menjadi satu-satunya pengguna dengan akses ke operasi administrator istimewa, seperti CreateKeydan VersionKey. Anda hanya dapat melakukan operasi ini ketika Anda mengonfigurasi tindakan penyimpanan kunci secara statis.

CreateKeyadalah operasi istimewa yang dapat menambahkan KMS kunci baru ARN ke daftar izin toko kunci Anda. KMSKunci ini dapat membuat kunci cabang aktif baru. Kami merekomendasikan membatasi akses ke operasi ini karena setelah KMS kunci ditambahkan ke toko kunci cabang, itu tidak dapat dihapus.

Dalam kebanyakan kasus penggunaan, pengguna key store hanya berinteraksi dengan key store melalui keyring Hierarchical saat mereka mengenkripsi, mendekripsi, menandatangani, dan memverifikasi data. Akibatnya, mereka hanya perlu izin baca ke tabel Amazon DynamoDB yang berfungsi sebagai toko kunci Anda. Pengguna toko kunci hanya perlu akses ke operasi penggunaan yang memungkinkan operasi kriptografi, sepertiGetActiveBranchKey,GetBranchKeyVersion, danGetBeaconKey. Mereka tidak memerlukan izin untuk membuat atau mengelola kunci cabang yang mereka gunakan.

Anda dapat melakukan operasi penggunaan ketika tindakan penyimpanan kunci Anda dikonfigurasi secara statis, atau ketika mereka dikonfigurasi untuk penemuan. Anda tidak dapat melakukan operasi administrator (CreateKeydanVersionKey) ketika tindakan penyimpanan kunci Anda dikonfigurasi untuk penemuan.

Jika administrator toko kunci cabang Anda mengizinkan mencantumkan beberapa KMS kunci di toko kunci cabang Anda, kami menyarankan agar pengguna toko kunci Anda mengonfigurasi tindakan penyimpanan kunci mereka untuk ditemukan sehingga keyring Hierarkis mereka dapat menggunakan beberapa kunci. KMS