Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

ABACper AWS KMS

Il controllo degli accessi basato sugli attributi (ABAC) è una strategia di autorizzazione che definisce le autorizzazioni in base agli attributi. AWS KMS supporta ABAC consentendo di controllare l'accesso alle chiavi gestite dai clienti in base ai tag e agli alias associati alle chiavi. KMS Le chiavi di condizione dei tag e degli alias che abilitano ABAC AWS KMS forniscono un modo potente e flessibile per autorizzare i responsabili all'uso delle KMS chiavi senza modificare le politiche o gestire le concessioni. Ma occorre usare queste funzionalità con cura in modo che ai principali non sia inavvertitamente autorizzato o negato l'accesso.

Se utilizzateABAC, tenete presente che l'autorizzazione a gestire tag e alias è ora un'autorizzazione di controllo dell'accesso. Assicurati di conoscere i tag e gli alias esistenti su tutte le KMS chiavi prima di implementare una politica che dipenda da tag o alias. Prendere ragionevoli precauzioni quando si aggiungono, eliminano e aggiornano gli alias e quando si taggano e si rimuovono i tag delle chiavi. Assegna le autorizzazioni per gestire tag e alias solo alle entità che ne hanno bisogno e limita i tag e gli alias che possono gestire.

Ulteriori informazioni

ABACchiavi di condizione per AWS KMS

Per autorizzare l'accesso alle KMS chiavi in base ai relativi tag e alias, utilizzate le seguenti chiavi condizionali in una politica o IAM in una politica chiave.

¹ Qualsiasi chiave di condizione che può essere utilizzata in una politica chiave può essere utilizzata anche in una IAM politica, ma solo se la politica chiave lo consente.

² Un'operazione su una risorsa KMS chiave è un'operazione autorizzata per una KMS chiave particolare. Per identificare le operazioni KMS chiave relative alle risorse, nella tabella AWS KMS delle autorizzazioni, cerca un valore di KMS chiave nella Resources colonna relativa all'operazione.

Ad esempio, è possibile utilizzare queste chiavi di condizione per creare le seguenti policy.

ABACrende la gestione degli accessi flessibile e scalabile. Ad esempio, è possibile utilizzare la chiave aws:ResourceTag/tag-key condition per creare una IAM policy che consenta ai responsabili di utilizzare una KMS chiave per operazioni specifiche solo quando la KMS chiave ha un Purpose=Test tag. La politica si applica a tutte le KMS chiavi in tutte le regioni di. Account AWS

Se associata a un utente o a un ruolo, la seguente IAM politica consente ai responsabili di utilizzare tutte le KMS chiavi esistenti con un Purpose=Test tag per le operazioni specificate. Per fornire questo accesso a KMS chiavi nuove o esistenti, non è necessario modificare la politica. Basta attaccare il Purpose=Test tag alle KMS chiavi. Allo stesso modo, per rimuovere questo accesso dalle KMS chiavi con un Purpose=Test tag, modifica o elimina il tag.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AliasBasedIAMPolicy",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:*:111122223333:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Purpose": "Test"
        }
      }
    }
  ]
}

Tuttavia, se si utilizza questa funzione, fare attenzione nella gestione di tag e alias. L'aggiunta, la modifica o l'eliminazione di un tag o di un alias può consentire o negare inavvertitamente l'accesso a una chiave. KMS Gli amministratori chiave che non dispongono dell'autorizzazione per modificare le politiche chiave o creare concessioni possono controllare l'accesso alle KMS chiavi se sono autorizzati a gestire tag e alias. Per mitigare questo rischio, considera di limitare le autorizzazioni per la gestione di tag e alias. Ad esempio, potrebbe essere necessario consentire solo ai principali di gestire la gestione dei tag Purpose=Test. Per informazioni dettagliate, consulta Utilizzate gli alias per controllare l'accesso alle chiavi KMS e Utilizzate i tag per controllare l'accesso alle KMS chiavi.

Tag o alias?

AWS KMS supporta ABAC con tag e alias. Entrambe le opzioni offrono una strategia di controllo degli accessi flessibile e scalabile, ma sono leggermente diverse l'una dall'altra.

Potresti decidere di utilizzare tag o utilizzare alias in base ai tuoi modelli di AWS utilizzo particolari. Ad esempio, se sono già state concesse autorizzazioni di assegnazione di tag alla maggior parte degli amministratori, potrebbe essere più semplice controllare una strategia di autorizzazione basata sugli alias. Oppure, se sei vicino alla quota di alias per KMS chiave, potresti preferire una strategia di autorizzazione basata sui tag.

I seguenti vantaggi sono di interesse generale.

Vantaggi del controllo degli accessi basato su tag

Vantaggi del controllo degli accessi basato su alias