Sovvenzioni in AWS KMS

Condizione che limita le autorizzazioni in una concessione. AWS KMS supporta due tipi di vincoli di concessione:

Per informazioni dettagliate, vedi Utilizzo dei vincoli di concessione.

L'identificatore univoco di una concessione per una chiave KMS. È possibile utilizzare un ID di concessione, insieme a un identificatore chiave, per identificare una concessione in una RetireGrant richiesta or. RevokeGrant

Le AWS KMS operazioni che puoi consentire in una concessione. Se si specificano altre operazioni, la CreateGrant richiesta ha esito negativo con un'ValidationErroreccezione. Queste sono anche le operazioni che accettano un token di concessione. Per informazioni dettagliate sulla modifica di queste autorizzazioni, consulta AWS KMS autorizzazioni.

Queste operazioni di concessione rappresentano effettivamente l'autorizzazione per l'utilizzo dell'operazione. Pertanto, per l'operazione ReEncrypt, puoi specificare ReEncryptFrom, ReEncryptTo o entrambi ReEncrypt*.

Le operazioni di concessione sono:

Le operazioni di concessione che autorizzi devono essere supportate dalla chiave KMS nella concessione. Se si specifica un'operazione non supportata, la CreateGrant richiesta ha esito negativo con un'ValidationErroreccezione. Ad esempio, le concessioni per le chiavi KMS di crittografia simmetrica non possono permettere le operazioni Sign, Verify, GenerateMac o VerifyMac Le concessioni per le chiavi KMS asimmetriche non possono permettere operazioni che generano chiavi di dati o coppie di chiavi di dati.

L' AWS KMS API segue un eventuale modello di coerenza. Quando crei una concessione, potrebbe verificarsi un breve ritardo prima che la modifica sia disponibile in AWS KMS. Generalmente, occorrono pochissimi secondi per la propagazione della modifica in tutto il sistema, ma in alcuni casi possono essere necessari diversi minuti. Se provi a utilizzare una concessione prima della propagazione in tutto il sistema, potrebbe verificarsi un errore di accesso negato. Un token di concessione consente di fare riferimento alla concessione e di utilizzare immediatamente le autorizzazioni di concessione.

Un grant token (token di concessione) è una stringa univoca, non segreta, di lunghezza variabile, codificata in base64 che rappresenta una concessione. È possibile utilizzare il token di concessione per identificare la concessione in qualsiasi operazione di concessione. Tuttavia, poiché il valore del token è un hash digest, non rivela alcun dettaglio sulla concessione.

Un token di concessione è progettato in modo da poter essere utilizzato solo quando la concessione si è propagata in AWS KMS. Dopo di che, l'assegnatario principale può utilizzare l'autorizzazione nella concessione senza fornire un token di concessione o qualsiasi altra prova della concessione. Puoi utilizzare un token di concessione in qualsiasi momento, ma una volta che la concessione è finalmente coerente, AWS KMS utilizza la concessione per determinare le autorizzazioni, non il token di concessione.

Ad esempio, il comando seguente richiama l'GenerateDataKeyoperazione. Utilizza un token di concessione per rappresentare la concessione che dà al chiamante (l'assegnatario principale) il permesso di chiamare GenerateDataKey sulla chiave KMS specificata.

$ aws kms generate-data-key \
        --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
        --key-spec AES_256 \
        --grant-token $token

Puoi anche utilizzare un token di concessione per identificare una concessione in qualsiasi operazione che gestisce le concessioni. Ad esempio, il preside in pensione può utilizzare un token di concessione in una chiamata all'RetireGrantoperazione.

$ aws kms retire-grant \
        --grant-token $token

CreateGrant è l'unica operazione che restituisce un token di concessione. Non è possibile ottenere un token di concessione da nessun'altra AWS KMS operazione o dall'evento di CloudTrail registro dell' CreateGrant operazione. Le ListRetirableGrants operazioni ListGrants and restituiscono l'ID di concessione, ma non un token di concessione.

Per informazioni dettagliate, vedi Utilizzo di un token di concessione.

Un AWS principale (identità IAM) che ottiene le autorizzazioni specificate nella concessione.

Il principale beneficiario può essere qualsiasi AWS principale, incluso un utente Account AWS (root), un utente IAM, un ruolo IAM, un ruolo o utente federato o un utente con ruolo presunto. L'assegnatario principale può essere nello stesso account della chiave KMS o in un account diverso. Tuttavia, l'assegnatario principale della concessione non può essere un principale del servizio, un gruppo IAM, o un'organizzazione AWS.

Per specificare il mandante del beneficiario, utilizza il parametro nella GranteePrincipal richiesta. CreateGrant

Un responsabile AWS del servizio che ottiene le autorizzazioni specificate nella concessione. Per specificare l'entità del servizio del beneficiario, utilizzare il GranteeServicePrincipal parametro nella richiesta. CreateGrant

Quando crei una sovvenzione con aGranteeServicePrincipal, devi includere anche un. SourceArn grant constraint Il SourceArn vincolo garantisce che il responsabile del servizio possa utilizzare la chiave KMS solo quando la richiesta viene effettuata per conto della risorsa specificata AWS .

Quando si specifica aGranteeServicePrincipal, è necessario specificare anche a RetiringPrincipal o a. RetiringServicePrincipal

Termina una concessione. Ritiri una concessione al termine dell'utilizzo delle autorizzazioni.

Sia la revoca che il ritiro di una concessione eliminano la concessione. Ma il ritiro può essere fatto da un principale specificato nella concessione. La revoca viene in genere eseguita da un amministratore della chiave. Per informazioni dettagliate, vedi Ritirare e revocare le concessioni.

Un principale che può ritirare una concessione. È possibile specificare un principale per il ritiro in una concessione, ma non è obbligatorio. Il responsabile ritirato può essere qualsiasi AWS responsabile, inclusi utenti IAM Account AWS, ruoli IAM, utenti federati e utenti con ruolo presunto. Il principale per il ritiro può essere nello stesso account della chiave KMS o in un account diverso.

Per specificare il principale che si ritira, utilizza il RetiringPrincipal parametro nella richiesta. CreateGrant

Un preside AWS del servizio che ha il permesso di ritirare una sovvenzione. Per specificare l'entità del servizio che intende ritirare, utilizzate il RetiringServicePrincipal parametro nella CreateGrant richiesta.

Termina una concessione. Revochi una concessione per negare attivamente le autorizzazioni consentite dalla concessione.

Sia la revoca che il ritiro di una concessione eliminano la concessione. Ma il ritiro può essere fatto da un principale specificato nella concessione. La revoca viene in genere eseguita da un amministratore della chiave. Per informazioni dettagliate, vedi Ritirare e revocare le concessioni.

L' AWS KMS API segue un modello di coerenza https://en.wikipedia.org/wiki/Eventual_consistency finale. Quando crei, ritiri o revochi una concessione, potrebbe verificarsi un breve ritardo prima che la modifica sia disponibile in AWS KMS. Generalmente, occorrono pochissimi secondi per la propagazione della modifica in tutto il sistema, ma in alcuni casi possono essere necessari diversi minuti.

Potresti apprendere di questo breve ritardo se ricevi errori imprevisti. Ad esempio, se provi a gestire una nuova concessione o a utilizzare le autorizzazioni in una nuova concessione prima che la concessione sia nota a tutti AWS KMS, potresti ricevere un errore di accesso negato. Se ritiri o revochi una concessione, l'assegnatario principale potrebbe ancora essere in grado di utilizzare le autorizzazioni per un breve periodo fino a quando la concessione non viene completamente eliminata. La strategia tipica consiste nel riprovare la richiesta e alcuni AWS SDK includono una logica di backoff e riprova automatici.

AWS KMS dispone di funzionalità per mitigare questo breve ritardo.

Per ulteriori informazioni, consulta Consistenza finale di AWS KMS.