Implementazione di autorizzazioni con privilegio minimo - AWS Crittografia database SDK

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Implementazione di autorizzazioni con privilegio minimo

Quando si utilizza un archivio chiavi e portachiavi AWS KMS gerarchici, si consiglia di seguire il principio del privilegio minimo definendo i seguenti ruoli:

Amministratore del negozio di chiavi

Gli amministratori dell'archivio chiavi sono responsabili della creazione e della gestione dell'archivio chiavi e delle chiavi di filiale che esso persiste e protegge. Gli amministratori del key store devono essere gli unici utenti con autorizzazioni di scrittura per la tabella Amazon DynamoDB che funge da archivio chiavi. Dovrebbero essere gli unici utenti con accesso a operazioni amministrative privilegiate, come e. CreateKeyVersionKey È possibile eseguire queste operazioni solo quando si configurano staticamente le azioni dell'archivio delle chiavi.

CreateKeyè un'operazione privilegiata che può aggiungere una nuova KMS chiave ARN alla lista delle autorizzazioni dell'archivio di chiavi. Questa KMS chiave può creare nuove chiavi branch attive. Consigliamo di limitare l'accesso a questa operazione perché una volta aggiunta una KMS chiave all'archivio delle chiavi della filiale, non può essere eliminata.

Utente del Key Store

Nella maggior parte dei casi d'uso, l'utente dell'archivio chiavi interagisce con l'archivio chiavi solo tramite il portachiavi gerarchico mentre crittografa, decrittografa, firma e verifica i dati. Di conseguenza, necessitano solo delle autorizzazioni di lettura per la tabella Amazon DynamoDB che funge da archivio delle chiavi. Gli utenti del Key Store devono poter accedere solo alle operazioni di utilizzo che rendono possibili le operazioni crittografiche, ad GetActiveBranchKey esempio, e. GetBranchKeyVersion GetBeaconKey Non hanno bisogno di autorizzazioni per creare o gestire le chiavi di filiale che utilizzano.

È possibile eseguire operazioni di utilizzo quando le azioni dell'archivio chiavi sono configurate staticamente o quando sono configurate per il rilevamento. Non è possibile eseguire operazioni di amministratore (CreateKeyeVersionKey) quando le azioni dell'archivio chiavi sono configurate per il rilevamento.

Se l'amministratore dell'archivio chiavi della filiale ha consentito l'inserimento di più KMS chiavi nell'archivio chiavi della filiale, consigliamo agli utenti dell'archivio chiavi di configurare le azioni dell'archivio chiavi per l'individuazione in modo che il loro portachiavi gerarchico possa utilizzare più chiavi. KMS