Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

ABACuntuk AWS KMS

Attribute-based access control (ABAC) adalah strategi otorisasi yang mendefinisikan izin berdasarkan atribut. AWS KMS mendukung ABAC dengan memungkinkan Anda untuk mengontrol akses ke kunci yang dikelola pelanggan Anda berdasarkan tag dan alias yang terkait dengan KMS kunci. Kunci kondisi tag dan alias yang memungkinkan ABAC dalam AWS KMS menyediakan cara yang kuat dan fleksibel untuk mengotorisasi prinsipal untuk menggunakan KMS kunci tanpa mengedit kebijakan atau mengelola hibah. Namun Anda harus menggunakan fitur ini dengan hati-hati sehingga perwakilan tidak ditolak aksesnya atau diizinkan secara tidak sengaja.

Jika Anda menggunakanABAC, ketahuilah bahwa izin untuk mengelola tag dan alias sekarang merupakan izin kontrol akses. Pastikan Anda mengetahui tag dan alias yang ada di semua KMS kunci sebelum menerapkan kebijakan yang bergantung pada tag atau alias. Lakukan tindakan pencegahan yang wajar saat menambahkan, menghapus, dan memperbarui alias, dan saat menandai dan menghapus tanda kunci. Berikan izin untuk mengelola tag dan alias hanya kepada perwakilan yang membutuhkannya, dan membatasi tag dan alias yang dapat mereka kelola.

Pelajari selengkapnya

ABACkunci kondisi untuk AWS KMS

Untuk mengotorisasi akses ke KMS kunci berdasarkan tag dan aliasnya, gunakan kunci kondisi berikut dalam kebijakan atau IAM kebijakan kunci.

¹ Kunci kondisi apa pun yang dapat digunakan dalam kebijakan kunci juga dapat digunakan dalam IAM kebijakan, tetapi hanya jika kebijakan kunci mengizinkannya.

² Operasi sumber daya KMS utama adalah operasi yang diizinkan untuk KMS kunci tertentu. Untuk mengidentifikasi operasi sumber daya KMS utama, dalam tabel AWS KMS izin, cari nilai KMS kunci di Resources kolom untuk operasi.

Misalnya, Anda dapat menggunakan kunci syarat ini untuk membuat kebijakan berikut.

ABACmembuat manajemen akses fleksibel dan terukur. Misalnya, Anda dapat menggunakan kunci aws:ResourceTag/tag-key kondisi untuk membuat IAM kebijakan yang memungkinkan prinsipal menggunakan KMS kunci untuk operasi tertentu hanya jika KMS kunci memiliki tag. Purpose=Test Kebijakan ini berlaku untuk semua KMS kunci di semua Wilayah Akun AWS.

Saat dilampirkan ke pengguna atau peran, IAM kebijakan berikut memungkinkan prinsipal untuk menggunakan semua KMS kunci yang ada dengan Purpose=Test tag untuk operasi yang ditentukan. Untuk menyediakan akses ini ke KMS kunci baru atau yang sudah ada, Anda tidak perlu mengubah kebijakan. Cukup pasang Purpose=Test tag ke KMS kunci. Demikian pula, untuk menghapus akses ini dari KMS kunci dengan Purpose=Test tag, edit atau hapus tag.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AliasBasedIAMPolicy",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:*:111122223333:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Purpose": "Test"
        }
      }
    }
  ]
}

Namun, jika Anda menggunakan fitur ini, hati-hati saat mengelola tag dan alias. Menambahkan, mengubah, atau menghapus tag atau alias dapat secara tidak sengaja mengizinkan atau menolak akses ke kunci. KMS Administrator kunci yang tidak memiliki izin untuk mengubah kebijakan kunci atau membuat hibah dapat mengontrol akses ke KMS kunci jika mereka memiliki izin untuk mengelola tag dan alias. Untuk mengurangi risiko ini, pertimbangkan membatasi izin untuk mengelola tag dan alias. Misalnya, Anda mungkin ingin hanya mengizinkan perwakilan terpilih yang dapat mengelola tag Purpose=Test. Untuk detailnya, lihat Gunakan alias untuk mengontrol akses ke kunci KMS dan Gunakan tag untuk mengontrol akses ke KMS tombol.

Tag atau alias?

AWS KMS mendukung ABAC dengan tag dan alias. Kedua opsi ini menyediakan strategi kontrol akses yang fleksibel dan dapat diskalakan, tetapi keduanya sedikit berbeda satu sama lain.

Anda mungkin memutuskan untuk menggunakan tag atau menggunakan alias berdasarkan pola AWS penggunaan khusus Anda. Misalnya, jika Anda telah memberikan izin penandaan kepada sebagian besar administrator, mungkin akan lebih mudah untuk mengontrol strategi otorisasi berdasarkan alias. Atau, jika Anda mendekati kuota alias per KMS kunci, Anda mungkin lebih memilih strategi otorisasi berdasarkan tag.

Manfaat berikut adalah kepentingan umum.

Manfaat kontrol akses berbasis tag

Manfaat kontrol akses berbasis alias