Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengontrol akses ke kunci multi-Wilayah

Anda dapat menggunakan kunci multi-Wilayah sesuai dengan kepatuhan, pemulihan bencana, dan skenario backup yang akan lebih kompleks dengan kunci Wilayah tunggal. Namun, karena properti keamanan dari kunci multi-wilayah secara signifikan berbeda dengan kunci Wilayah tunggal, kami merekomendasikan sebaiknya berhati-hati saat mengotorisasi pembuatan, manajemen, dan penggunaan kunci multi-Wilayah.

Gunakan alat otorisasi Anda untuk mencegah pembuatan dan penggunaan kunci multi-Wilayah dalam skenario apa pun di mana Wilayah tunggal saja cukup. Izinkan perwakilan untuk mereplikasi kunci multi-Wilayah hanya keWilayah AWS yang membutuhkannya. Berikan izin kunci multi-Wilayah hanya kepada perwakilan yang membutuhkan dan hanya untuk tugas-tugas yang memerlukannya.

Anda dapat menggunakan kebijakan kunci, kebijakan IAM, dan izin untuk mengizinkan perwakilan IAM mengelola dan menggunakan kunci multi-Wilayah di Akun AWS Anda. Setiap kunci multi-Wilayah adalah sumber daya independen dengan ARN dan kebijakan kunci yang unik. Anda perlu menetapkan dan memelihara kebijakan kunci untuk setiap kunci dan memastikan bahwa kebijakan IAM baru maupun yang sudah ada menerapkan strategi otorisasi Anda.

Basic otorisasi untuk kunci multi-Wilayah

Ketika merancang kebijakan kunci dan kebijakan IAM untuk kunci multi-Wilayah, pertimbangkan prinsip-prinsip berikut.

Mengotorisasi administrator dan pengguna kunci multi-Wilayah

Perwakilan yang membuat dan mengelola kunci multi-Wilayah memerlukan izin berikut di daerah primer dan replika:

Membuat kunci primer

Untuk membuat kunci primer Multi-wilayah, prinsipal memerlukan CreateServiceLinkedRole izin kms: CreateKey dan iam: dalam kebijakan IAM yang efektif di Region kunci primer. Prinsipal yang memiliki izin ini dapat membuat kunci Single-region dan Multi-region kecuali Anda membatasi izinnya.

iam:CreateServiceLinkedRoleIzin memungkinkan AWS KMS untuk membuat AWSServiceRoleForKeyManagementServiceMultiRegionKeysperan untuk menyinkronkan properti bersama kunci Multi-wilayah terkait.

Misalnya, kebijakan IAM ini memungkinkan prinsipal untuk membuat semua jenis kunci KMS.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action": [
        "kms:CreateKey",
        "iam:CreateServiceLinkedRole"
      ],
      "Effect":"Allow",
      "Resource":"*"
  }
}

Untuk mengizinkan atau menolak izin membuat kunci utama Multi-wilayah, gunakan kunci MultiRegion kondisi kms:. Nilai yang valid adalah true (kunci multi-Wilayah) atau false (kunci Wilayah tunggal). Misalnya, pernyataan kebijakan IAM berikut menggunakan tindakan Deny dengan kunci syarat kms:MultiRegion untuk mencegah perwakilan membuat kunci multi-Wilayah.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action":"kms:CreateKey",
      "Effect":"Deny",
      "Resource":"*",
      "Condition": {
          "Bool": "kms:MultiRegion": true
      }
  }
}

Mereplikasi kunci

Untuk membuat kunci replika multi-Wilayah, perwakilan memerlukan izin berikut:

Berhati-hatilah saat mengizinkan izin ini. Mereka memungkinkan prinsipal untuk membuat kunci KMS dan kebijakan utama yang mengotorisasi penggunaannya. Parameter izin kms:ReplicateKey juga mengizinkan transfer materi kunci di seluruh batas-batas Wilayah dalam AWS KMS.

Untuk membatasi Wilayah AWS di mana kunci Multi-region dapat direplikasi, gunakan kms: condition key. ReplicaRegion Kunci ini hanya akan membatasi izin kms:ReplicateKey. Jika tidak, kunci tidak berpengaruh. Misalnya, kebijakan kunci berikut mengizinkan perwakilan untuk mereplikasi kunci primer ini, tetapi hanya di Wilayah tertentu.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:ReplicateKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ReplicaRegion": [
         "us-east-1",
         "eu-west-3",
         "ap-southeast-2"
      ]
    }
  }
}

Memperbarui Wilayah primer

Perwakilan terotorisasi dapat mengkonversi kunci replika untuk kunci primer, yang mengubah kunci primer sebelumnya ke replika. Tindakan ini dikenal sebagai memperbarui Wilayah primer. Untuk memperbarui Wilayah utama, kepala sekolah membutuhkan kms: UpdatePrimaryRegion izin di kedua Wilayah. Anda dapat memberikan izin ini di kebijakan kunci atau IAM.

Misalnya, kebijakan kunci berikut memberi pengguna yang dapat mengasumsikan izin peran Administrator untuk memperbarui Wilayah utama kunci KMS. Kunci KMS ini dapat menjadi kunci utama atau kunci replika dalam operasi ini.

{
  "Effect": "Allow",
  "Resource": "*",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:UpdatePrimaryRegion"
}

Untuk membatasi kunci Wilayah AWS yang dapat meng-host kunci utama, gunakan kms: PrimaryRegion condition key. Misalnya, pernyataan kebijakan IAM berikut ini mengizinkan perwakilan untuk memperbarui Wilayah primer kunci multi-Wilayah di Akun AWS, tetapi hanya ketika Wilayah utama baru adalah salah satu dari Wilayah yang ditentukan.

{
  "Effect": "Allow",  
  "Action": "kms:UpdatePrimaryRegion",
  "Resource": {
      "arn:aws:kms:*:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": {
      "kms:PrimaryRegion": [ 
         "us-west-2",
         "sa-east-1",
         "ap-southeast-1"
      ]
    }
  }
}

Menggunakan dan mengelola kunci multi-Wilayah

Secara default, kepala sekolah yang memiliki izin untuk menggunakan dan mengelola kunci KMS di dan Wilayah juga memiliki izin untuk menggunakan Akun AWS dan mengelola kunci Multi-wilayah. Namun, Anda dapat menggunakan kms: MultiRegion condition key untuk mengizinkan hanya kunci Single-region atau hanya kunci Multi-region. Atau gunakan kunci MultiRegionKeyType kondisi kms: untuk mengizinkan hanya kunci utama Multi-wilayah atau hanya kunci replika. Kedua tombol kondisi mengontrol akses ke CreateKeyoperasi dan operasi apa pun yang menggunakan kunci KMS yang ada, seperti Enkripsi atau. EnableKey

Contoh pernyataan kebijakan IAM berikut menggunakan kunci syarat kms:MultiRegion untuk mencegah perwakilan menggunakan atau mengelola kunci multi-Wilayah apa pun.

{
  "Effect": "Deny",  
  "Action": "kms:*",
  "Resource": "*",
  "Condition": {
    "Bool": "kms:MultiRegion": true
  }
}

Contoh pernyataan kebijakan IAM berikut menggunakan kunci syarat kms:MultiRegionKeyType untuk mengizinkan perwakilan menjadwalkan dan membatalkan penghapusan kunci, tetapi hanya pada kunci replika multi-Wilayah.

{
  "Effect": "Allow",  
  "Action": [
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": {
      "arn:aws:kms:us-west-2:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": "kms:MultiRegionKeyType": "REPLICA"
  }
} 

Mengotorisasi AWS KMS untuk menyinkronkan kunci multi-Wilayah

Untuk mensuport kunci multi-Wilayah, AWS KMS menggunakan peran terkait layanan IAM. Peran ini memberi AWS KMS izin yang dibutuhkan untuk menyinkronkan properti bersama. Anda dapat melihat SynchronizeMultiRegionKey CloudTrail peristiwa yang merekam AWS KMS sinkronisasi properti bersama di AWS CloudTrail log Anda.

Tentang peran yang tertaut ke layanan untuk kunci multi-Wilayah

Peran yang tertaut ke layanan adalah IAM role yang memberikan satu izin layanan AWS untuk memanggil layanan AWS lainnya atas nama Anda. Ini dirancang agar mempermudah Anda menggunakan fitur dari beberapa layanan AWS terintegrasi tanpa harus membuat dan memelihara kebijakan IAM yang kompleks.

Untuk kunci Multi-wilayah, AWS KMS buat peran AWSServiceRoleForKeyManagementServiceMultiRegionKeysterkait layanan dengan kebijakan. AWSKeyManagementServiceMultiRegionKeysServiceRolePolicy Kebijakan ini memberi peran izin kms:SynchronizeMultiRegionKey, yang mengizinkannya untuk menyinkronkan properti bersama dari kunci multi-wilayah.

Karena peran AWSServiceRoleForKeyManagementServiceMultiRegionKeysterkait layanan hanya mempercayaimrk.kms.amazonaws.com, hanya AWS KMS dapat mengambil peran terkait layanan ini. Peran ini terbatas pada operasi yang memerlukan AWS KMS menyinkronkan properti bersama multi-wilayah. Ini tidak memberikan AWS KMS izin tambahan apa pun. Misalnya, AWS KMS tidak memiliki izin untuk membuat, mereplikasi, atau menghapus kunci KMS apa pun.

Untuk informasi lebih lanjut tentang cara layanan AWS menggunakan peran tertaut layanan, lihat Menggunakan Peran Tertaut Layanan dalam Panduan Pengguna IAM.

Membuat peran yang ditautkan ke layanan

AWS KMSsecara otomatis membuat peran AWSServiceRoleForKeyManagementServiceMultiRegionKeysterkait layanan di Akun AWS saat Anda membuat kunci Multi-wilayah, jika peran tersebut belum ada. Anda tidak dapat membuat atau membuat ulang peran yang tertaut dengan layanan ini secara langsung.

Mengedit deskripsi peran tertaut layanan

Anda tidak dapat mengedit nama peran atau pernyataan kebijakan dalam peran AWSServiceRoleForKeyManagementServiceMultiRegionKeysterkait layanan, tetapi Anda dapat mengedit deskripsi peran. Untuk informasi lebih lanjut, lihat Mengedit Peran Tertaut Layanan dalam Panduan Pengguna IAM.

Menghapus peran tertaut layanan

AWS KMStidak menghapus peran AWSServiceRoleForKeyManagementServiceMultiRegionKeysterkait layanan dari Anda Akun AWS dan Anda tidak dapat menghapusnya. Namun, AWS KMS tidak mengambil AWSServiceRoleForKeyManagementServiceMultiRegionKeysperan atau menggunakan salah satu izinnya kecuali Anda memiliki kunci Multi-wilayah di Akun AWS dan Wilayah Anda.