Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Questa tabella è progettata per aiutarti a comprendere AWS KMS le autorizzazioni in modo da poter controllare l'accesso alle tue risorse. AWS KMS Le definizioni delle intestazioni di colonna vengono visualizzate sotto la tabella.
Per ulteriori informazioni sulle AWS KMS autorizzazioni, consulta la sezione Azioni, risorse e chiavi di condizione relativa all' AWS Key Management Service argomento del Service Authorization Reference. Tuttavia, questo argomento non riporta tutte le chiavi di condizione che possono essere utilizzate per rifinire ogni autorizzazione.
Per ulteriori informazioni su quali AWS KMS operazioni sono valide per le chiavi KMS con crittografia simmetrica, le chiavi KMS asimmetriche e le chiavi KMS HMAC, consulta la. Documentazione di riferimento dei tipi di chiave
Nota
Potrebbe essere necessario scorrere orizzontalmente o verticalmente per visualizzare tutti i dati della tabella.
| Azioni e autorizzazioni | Tipo di policy | Utilizzo per più account | Risorse (per policy IAM) | AWS KMS chiavi di condizione |
|---|---|---|---|---|
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
| ConnectCustomKeyStore
|
Policy IAM | No |
|
|
|
Per utilizzare questa operazione, il chiamante necessita dell'autorizzazione
Per informazioni dettagliate, consultare Controllo dell'accesso agli alias. |
Policy IAM (per l'alias) |
No |
Alias |
Nessuna (in caso di controllo dell'accesso all'alias) |
|
Policy chiave (per la chiave KMS) |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
| CreateCustomKeyStore
|
Policy IAM | No |
|
|
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni di concessione: Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy IAM |
No |
|
km: BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (chiave di condizione AWS globale) aws:ResourceTag/tag-key (chiave di condizione globale)AWS aws: TagKeys (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
Per utilizzare questa operazione, il chiamante necessita dell'autorizzazione
Per informazioni dettagliate, consultare Controllo dell'accesso agli alias. |
Policy IAM (per l'alias) |
No |
Alias |
Nessuna (in caso di controllo dell'accesso all'alias) |
|
Policy chiave (per la chiave KMS) |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
| DeleteCustomKeyStore
|
Policy IAM | No |
|
|
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
| DeriveSharedSecret
|
Policy della chiave | Sì | Chiave KMS | Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Condizioni per le operazioni di crittografia: |
| DescribeCustomKeyStores
|
Policy IAM | No |
|
|
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
| DisconnectCustomKeyStore
|
Policy IAM | No |
|
|
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Condizioni di rotazione automatica dei tasti: |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS Genera coppie di chiavi di dati asimmetriche protette da una chiave KMS di crittografia simmetrica. |
Condizioni per coppie di chiavi di dati: Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
GenerateDataKeyPairWithoutPlaintext
|
Policy della chiave |
Sì |
Chiave KMS Genera coppie di chiavi di dati asimmetriche protette da una chiave KMS di crittografia simmetrica. |
Condizioni per coppie di chiavi di dati: Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
GenerateDataKeyWithoutPlaintext
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
| GenerateMac
|
Policy della chiave | Sì | Chiave KMS | Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Condizioni per le operazioni di crittografia: |
|
|
Policy IAM |
N/D |
|
Nessuno |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: km: ExpirationModel |
|
|
Policy IAM |
No |
|
Nessuno |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy IAM |
No |
|
Nessuno |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy IAM |
L'entità principale specificata deve trovarsi nell'account locale, ma l'operazione restituisce concessioni in tutti gli account. |
|
Nessuno |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
Per utilizzare questa operazione, il chiamante necessita dell'autorizzazione per due chiavi KMS:
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni di crittografia Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
Per utilizzare questa operazione, il chiamante necessita delle seguenti autorizzazioni:
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
L'autorizzazione per ritirare una concessione è determinata principalmente dalla concessione. Una policy da sola non può consentire l'accesso a questa operazione. Per ulteriori informazioni, consulta Ritirare e revocare le concessioni. |
Policy IAM Questa autorizzazione non è valida in una policy chiave. |
Sì |
Chiave KMS |
Condizioni per il contesto di crittografia: kms:: chiave contestuale EncryptionContext Condizioni di concessione: Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
Sì |
Chiave KMS |
Condizioni per la firma e la verifica: km: RequestAliasCondizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Condizioni per l'assegnazione di tag: aws:RequestTag/tag-key (chiave di condizione AWS globale) aws: TagKeys (chiave di condizione AWS globale) |
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Condizioni per l'assegnazione di tag: aws:RequestTag/tag-key (chiave di condizione AWS globale) aws: TagKeys (chiave di condizione AWS globale) |
|
Per utilizzare questa operazione, il chiamante necessita dell'autorizzazione
Per informazioni dettagliate, consultare Controllo dell'accesso agli alias. |
Policy IAM (per l'alias) |
No |
Alias |
Nessuna (in caso di controllo dell'accesso all'alias) |
|
Policy chiave (per le chiavi KMS) |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
| UpdateCustomKeyStore
|
Policy IAM | No |
|
|
|
|
Policy della chiave |
No |
Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
|
Per utilizzare questa operazione, il chiamante necessita dell'autorizzazione |
Policy della chiave |
No | Chiave KMS |
Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Altre condizioni: |
|
|
Policy della chiave |
Sì | Chiave KMS |
Condizioni per la firma e la verifica: km: RequestAliasCondizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) |
| VerifyMac
|
Policy della chiave | Sì | Chiave KMS | Condizioni per le operazioni delle chiavi KMS: aws:ResourceTag/tag-key (chiave di condizione AWS globale) Condizioni per le operazioni di crittografia: |
Descrizioni delle colonne
Le colonne nella tabella forniscono le seguenti informazioni:
-
Azioni e autorizzazioni elenca ogni operazione AWS KMS API e l'autorizzazione che consente l'operazione. È possibile specificare l'operazione nell'elemento
Actiondi un'istruzione di policy. -
Tipo di policy indica se l'autorizzazione può essere utilizzata in una policy chiave o in una policy IAM.
Policy chiave significa che puoi specificare l'autorizzazione nella policy chiave. Quando la policy chiave contiene l'istruzione di policy che consente policy IAM, puoi specificare l'autorizzazione in una policy IAM.
Policy IAM significa che puoi specificare l'autorizzazione solo in una policy IAM.
-
Utilizzo tra account mostra le operazioni che gli utenti autorizzati possono eseguire sulle risorse in un Account AWS diverso.
Un valore di Sì significa che le entità principali possono eseguire l'operazione sulle risorse in un Account AWS diverso.
Un valore di No significa che le entità principali possono eseguire l'operazione solo sulle risorse nel proprio Account AWS.
Se si concede a un'entità in un account diverso un'autorizzazione che non può essere utilizzata su una risorsa tra account, l'autorizzazione non è valida. Ad esempio, se concedi a un responsabile di un altro account kms: l'TagResourceautorizzazione a utilizzare una chiave KMS nel tuo account, i suoi tentativi di taggare la chiave KMS nel tuo account falliranno.
-
Resources elenca le AWS KMS risorse a cui si applicano le autorizzazioni. AWS KMS supporta due tipi di risorse: una chiave KMS e un alias. In una policy delle chiavi, il valore dell'elemento
Resourceè sempre*, che indica la chiave KMS collegata alla policy delle chiavi.Utilizza i seguenti valori per rappresentare una AWS KMS risorsa in una policy IAM.
- Chiave KMS
-
Quando la risorsa è una chiave KMS utilizza l'ARN chiave. Per assistenza, consulta Trova l'ID della chiave e l'ARN della chiave.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDPer esempio:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Quando la risorsa è un alias, utilizza l'ARN dell'alias. Per assistenza, consulta Trova il nome dell'alias e l'alias ARN per una chiave KMS.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_namePer esempio:
arn:aws:kms:us-west- 2:111122223333:alias/ ExampleAlias
*(asterisco)-
Quando l'autorizzazione non si applica a una determinata risorsa (chiave KMS o alias) utilizza un asterisco (
*).In una policy IAM per un' AWS KMS autorizzazione, un asterisco nell'elemento indica tutte le risorse (chiavi e alias KMS).
ResourceAWS KMS Puoi anche utilizzare un asterisco nell'Resourceelemento quando l' AWS KMS autorizzazione non si applica a particolari chiavi o alias KMS. Ad esempio, quando si consente o sikms:CreateKeynega l'kms:ListKeysautorizzazione, è necessario impostare l'elemento su.Resource*
-
AWS KMS condition keys elenca le chiavi di AWS KMS condizione che è possibile utilizzare per controllare l'accesso all'operazione. Puoi specificare condizioni nell'elemento
Conditiondi una policy. Per ulteriori informazioni, consulta AWS KMS chiavi di condizione. Questa colonna include anche le chiavi di condizione AWS globali supportate da AWS KMS, ma non da tutti i AWS servizi.
