Praktik terbaik untuk IAM kebijakan

Jika memungkinkan, berikan izin dalam kebijakan utama yang memengaruhi satu KMS kunci, bukan dalam IAM kebijakan yang dapat diterapkan ke banyak KMS kunci, termasuk yang ada di kunci lainnya Akun AWS. Ini sangat penting untuk izin sensitif seperti kms: PutKeyPolicy dan kms: ScheduleKeyDeletion tetapi juga untuk operasi kriptografi yang menentukan bagaimana data Anda dilindungi.

Berikan izin untuk membuat kunci (kms: CreateKey) hanya untuk kepala sekolah yang membutuhkannya. Prinsipal yang membuat KMS kunci juga menetapkan kebijakan utamanya, sehingga mereka dapat memberi diri mereka sendiri dan orang lain izin untuk menggunakan dan mengelola KMS kunci yang mereka buat. Jika Anda mengizinkan izin ini, pertimbangkan untuk membatasinya menggunakan syarat kebijakan. Misalnya, Anda dapat menggunakan KeySpec kondisi kms: untuk membatasi izin ke kunci enkripsi KMS simetris.

Sebagai praktik terbaik, tentukan kunci ARN dari setiap KMS kunci yang izinnya berlaku dalam Resource elemen pernyataan kebijakan. Praktek ini membatasi izin untuk KMS kunci yang dibutuhkan kepala sekolah. Misalnya, Resource elemen ini hanya mencantumkan KMS kunci yang perlu digunakan oleh prinsipal.

"Resource": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321"
]

Saat menentukan KMS kunci tidak praktis, gunakan Resource nilai yang membatasi akses ke KMS kunci di wilayah Akun AWS dan terpercaya, seperti. arn:aws:kms:region:account:key/* Atau batasi akses ke KMS kunci di semua Wilayah (*) yang terpercaya Akun AWS, sepertiarn:aws:kms:*:account:key/*.

Anda tidak dapat menggunakan ID kunci, nama alias, atau alias ARN untuk mewakili KMS kunci di Resource bidang kebijakan. IAM Jika Anda menentukan aliasARN, kebijakan berlaku untuk alias, bukan untuk kunci. KMS Untuk informasi tentang IAM kebijakan alias, lihat Mengontrol akses ke alias

Gunakan karakter kartubebas (*) dengan bijaksana. Dalam kebijakan kunci, karakter wildcard dalam Resource elemen mewakili KMS kunci yang dilampirkan kebijakan kunci. Namun dalam IAM kebijakan, karakter wildcard saja di Resource element ("Resource": "*") menerapkan izin ke semua KMS kunci di semua Akun AWS yang diizinkan oleh akun prinsipal untuk digunakan. Ini mungkin termasuk KMSkunci di lain Akun AWS, serta KMS kunci di akun kepala sekolah.

Misalnya, untuk menggunakan KMS kunci di akun lain Akun AWS, prinsipal memerlukan izin dari kebijakan kunci KMS kunci di akun eksternal, dan dari IAM kebijakan di akun mereka sendiri. Misalkan akun arbitrer memberikan izin Akun AWS KMS: Dekripsi pada kunci mereka. KMS Jika demikian, IAM kebijakan di akun Anda yang memberikan kms:Decrypt izin peran pada semua KMS kunci ("Resource": "*") akan memenuhi IAM bagian dari persyaratan tersebut. Akibatnya, kepala sekolah yang dapat mengasumsikan peran itu sekarang dapat mendekripsi ciphertext menggunakan kunci di akun yang tidak tepercaya. KMS Entri untuk operasi mereka muncul di CloudTrail log kedua akun.

Secara khusus, hindari penggunaan "Resource": "*" dalam pernyataan kebijakan yang memungkinkan API operasi berikut. Operasi ini dapat dipanggil pada KMS kunci lain Akun AWS.

Dalam IAM kebijakan, gunakan karakter wildcard dalam Resource elemen hanya untuk izin yang memerlukannya. Hanya izin berikut yang memerlukan elemen "Resource": "*".