Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kontrol akses ke toko AWS CloudHSM kunci Anda

Anda menggunakan IAM kebijakan untuk mengontrol akses ke penyimpanan AWS CloudHSM kunci dan AWS CloudHSM klaster Anda. Anda dapat menggunakan kebijakan, IAM kebijakan, dan hibah utama untuk mengontrol akses ke AWS KMS keys toko AWS CloudHSM kunci Anda. Sebaiknya Anda menyediakan pengguna, grup, dan peran izin yang hanya mereka perlukan untuk tugas-tugas yang sangat mungkin akan mereka lakukan.

Mengotorisasi manajer dan pengguna toko AWS CloudHSM utama

Saat mendesain toko AWS CloudHSM kunci Anda, pastikan bahwa kepala sekolah yang menggunakan dan mengelolanya hanya memiliki izin yang mereka butuhkan. Daftar berikut menjelaskan izin minimum yang diperlukan untuk pengelola dan pengguna toko AWS CloudHSM utama.

Otorisasi AWS KMS untuk mengelola AWS CloudHSM dan sumber daya Amazon EC2

Untuk mendukung toko AWS CloudHSM utama Anda, AWS KMS perlu izin untuk mendapatkan informasi tentang AWS CloudHSM cluster Anda. Ini juga membutuhkan izin untuk membuat infrastruktur jaringan yang menghubungkan toko AWS CloudHSM kunci Anda ke AWS CloudHSM klasternya. Untuk mendapatkan izin ini, AWS KMS buat peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan di Anda. Akun AWS Pengguna yang membuat toko AWS CloudHSM kunci harus memiliki iam:CreateServiceLinkedRole izin yang memungkinkan mereka membuat peran terkait layanan.

Tentang peran AWS KMS terkait layanan

Peran terkait layanan adalah IAM peran yang memberikan satu izin AWS layanan untuk memanggil AWS layanan lain atas nama Anda. Ini dirancang untuk memudahkan Anda menggunakan fitur dari beberapa AWS layanan terintegrasi tanpa harus membuat dan memelihara IAM kebijakan yang kompleks. Untuk informasi selengkapnya, lihat Menggunakan peran tertaut layanan untuk AWS KMS.

Untuk penyimpanan AWS CloudHSM utama, AWS KMS buat peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan dengan kebijakan. AWSKeyManagementServiceCustomKeyStoresServiceRolePolicy Kebijakan ini memberi peran izin berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudhsm:Describe*",
        "ec2:CreateNetworkInterface",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateSecurityGroup",
        "ec2:DescribeSecurityGroups",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:DeleteSecurityGroup",
        "ec2:DescribeVpcs",
        "ec2:DescribeNetworkAcls",
        "ec2:DescribeNetworkInterfaces"
      ],
      "Resource": "*"
    }
  ]
}

Karena peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan hanya mempercayaicks.kms.amazonaws.com, hanya AWS KMS dapat mengambil peran terkait layanan ini. Peran ini terbatas pada operasi yang AWS KMS perlu melihat AWS CloudHSM kluster Anda dan untuk menghubungkan penyimpanan AWS CloudHSM kunci ke AWS CloudHSM klaster terkait. Itu tidak memberikan AWS KMS izin tambahan. Misalnya, AWS KMS tidak memiliki izin untuk membuat, mengelola, atau menghapus AWS CloudHSM cluster,HSMs, atau backup Anda.

Daerah

Seperti fitur toko AWS CloudHSM utama, AWSServiceRoleForKeyManagementServiceCustomKeyStoresperan ini didukung di semua Wilayah AWS tempat AWS KMS dan AWS CloudHSM tersedia. Untuk daftar yang didukung Wilayah AWS oleh setiap layanan, lihat AWS Key Management Service Titik Akhir dan Kuota dan AWS CloudHSM titik akhir dan kuota di. Referensi Umum Amazon Web Services

Untuk informasi selengkapnya tentang cara AWS layanan menggunakan peran terkait layanan, lihat Menggunakan peran terkait layanan di Panduan Pengguna. IAM

Membuat peran terkait layanan

AWS KMS secara otomatis membuat peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan di Akun AWS saat Anda membuat penyimpanan AWS CloudHSM kunci, jika peran tersebut belum ada. Anda tidak dapat membuat atau membuat ulang peran yang tertaut dengan layanan ini secara langsung.

Mengedit deskripsi peran tertaut layanan

Anda tidak dapat mengedit nama peran atau pernyataan kebijakan dalam peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan, tetapi Anda dapat mengedit deskripsi peran. Untuk petunjuknya, lihat Mengedit peran terkait layanan di IAMPanduan Pengguna.

Menghapus peran terkait layanan

AWS KMS tidak menghapus peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan dari Anda Akun AWS bahkan jika Anda telah menghapus semua toko AWS CloudHSM utama Anda. Meskipun saat ini tidak ada prosedur untuk menghapus peran AWSServiceRoleForKeyManagementServiceCustomKeyStoresterkait layanan, AWS KMS tidak mengambil peran ini atau menggunakan izinnya kecuali Anda memiliki penyimpanan kunci aktif. AWS CloudHSM