Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo dell'accesso alle chiavi multi-regione

È possibile utilizzare chiavi multi-regione in scenari di conformità, ripristino di emergenza e backup più complessi con le chiavi di singola regione. Tuttavia, poiché le proprietà di protezione delle chiavi multi-regione sono significativamente diverse da quelle delle chiavi di regione singola, si consiglia di prestare attenzione quando si autorizza la creazione, la gestione e l'utilizzo di chiavi multi-regione.

Utilizza gli strumenti di autorizzazione per impedire la creazione e l'utilizzo di chiavi multi-regione in qualsiasi scenario in cui una singola regione è sufficiente. Consenti ai principali di replicare una chiave multi-regione solo nelle Regioni AWS che li richiedono. Concedere l'autorizzazione per le chiavi multi-regione solo ai principali che ne hanno bisogno e solo per le attività che le richiedono.

È possibile utilizzare le policy delle chiavi, le policy IAM e le concessioni per consentire ai principali IAM di gestire e utilizzare le chiavi multi-regione nel Account AWS. Ogni chiave multi-regione è una risorsa indipendente con una chiave univoca ARN e una policy delle chiavi. È necessario stabilire e gestire una policy delle chiavi per ogni chiave e assicurarsi che le policy IAM nuove ed esistenti implementino la strategia di autorizzazione.

Nozioni di base sull'autorizzazione per le chiavi multi-regione

Quando si progettano policy delle chiavi e policy IAM per chiavi multi-regione, considerare i seguenti principi.

Autorizzazione degli amministratori e degli utenti delle chiavi multi-regione

I principali che creano e gestiscono chiavi multi-regione necessitano delle seguenti autorizzazioni nelle regioni primarie e di replica:

Creazione di una chiave primaria

Per creare una chiave primaria multiregionale, il principale necessita delle CreateServiceLinkedRole autorizzazioni kms: CreateKey e iam: in una policy IAM efficace nella regione della chiave primaria. I principali che dispongono di queste autorizzazioni possono creare chiavi di regione singola e multi-regione a meno che non si limitino le autorizzazioni.

L'iam:CreateServiceLinkedRoleautorizzazione consente di AWS KMS creare il AWSServiceRoleForKeyManagementServiceMultiRegionKeysruolo per sincronizzare le proprietà condivise delle relative chiavi multiregionali.

Ad esempio, questa policy IAM consente a un principale di creare qualsiasi tipo di chiave KMS.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action": [
        "kms:CreateKey",
        "iam:CreateServiceLinkedRole"
      ],
      "Effect":"Allow",
      "Resource":"*"
  }
}

Per consentire o negare l'autorizzazione alla creazione di chiavi primarie multiregionali, usa la chiave kms: condition. MultiRegion I valori validi sono true (Chiave multi-regione) o false (Chiave di singola regione). Ad esempio, la seguente istruzione di policy IAM utilizza un’operazione Deny con la chiave di condizione kms:MultiRegion per impedire ai principali di creare chiavi multi-regione.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action":"kms:CreateKey",
      "Effect":"Deny",
      "Resource":"*",
      "Condition": {
          "Bool": "kms:MultiRegion": true
      }
  }
}

Replica delle chiavi

Per creare una chiave di replica multi-regione, il principale richiede le seguenti autorizzazioni:

Presta attenzione quando consenti queste autorizzazioni. Consentono ai principali di creare chiavi KMS e le policy delle chiavi che ne autorizzano l'utilizzo. L’autorizzazione kms:ReplicateKey autorizza inoltre il trasferimento di materiale chiave oltre i confini della regione all'interno di AWS KMS.

Per limitare il numero Regioni AWS di repliche di una chiave multiregionale, usa la chiave kms: condition. ReplicaRegion Limita solo l’autorizzazione kms:ReplicateKey. Altrimenti, non ha efficacia. Ad esempio, la seguente policy delle chiavi consente al principale di replicare questa chiave primaria, ma solo nelle regioni specificate.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:ReplicateKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ReplicaRegion": [
         "us-east-1",
         "eu-west-3",
         "ap-southeast-2"
      ]
    }
  }
}

Aggiornamento della regione primaria

I principali autorizzati possono convertire una chiave di replica in una chiave primaria, modificando la chiave primaria precedente in una replica. Questa azione è nota come aggiornamento della regione primaria. Per aggiornare la regione principale, la principale necessita dell'UpdatePrimaryRegionautorizzazione kms: in entrambe le regioni. Puoi fornire queste autorizzazioni in una policy delle chiavi o in una policy IAM.

Ad esempio, la seguente policy delle chiavi consente agli utenti che possono assumere il ruolo di Amministratore di aggiornare la regione primaria della chiave KMS. Questa chiave KMS può essere la chiave primaria o una chiave di replica in questa operazione.

{
  "Effect": "Allow",
  "Resource": "*",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:UpdatePrimaryRegion"
}

Per limitare la Regioni AWS capacità di ospitare una chiave primaria, usa la chiave kms: PrimaryRegion condition. Ad esempio, la seguente istruzione della policy IAM consente ai principali di aggiornare la regione primaria delle chiavi multi-regione nel Account AWS, ma solo quando la nuova regione primaria è una delle regioni specificate.

{
  "Effect": "Allow",  
  "Action": "kms:UpdatePrimaryRegion",
  "Resource": {
      "arn:aws:kms:*:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": {
      "kms:PrimaryRegion": [ 
         "us-west-2",
         "sa-east-1",
         "ap-southeast-1"
      ]
    }
  }
}

Utilizzo e gestione di chiavi multi-regione

Per impostazione predefinita, i principali che dispongono dell'autorizzazione per utilizzare e gestire le chiavi KMS in un Account AWS e Regione hanno anche l'autorizzazione per utilizzare e gestire chiavi multi-regione. Tuttavia, puoi utilizzare la chiave kms: MultiRegion condition per consentire solo chiavi a regione singola o solo chiavi multiregione. Oppure usa la chiave kms: MultiRegionKeyType condition per consentire solo chiavi primarie multiregionali o solo chiavi di replica. Entrambi i tasti condizionali controllano l'accesso all'CreateKeyoperazione e a qualsiasi operazione che utilizza una chiave KMS esistente, come Encrypt o. EnableKey

La seguente istruzione di policy IAM utilizza la chiave di condizione kms:MultiRegion per impedire ai principali di utilizzare o gestire qualsiasi chiave multi-regione.

{
  "Effect": "Deny",  
  "Action": "kms:*",
  "Resource": "*",
  "Condition": {
    "Bool": "kms:MultiRegion": true
  }
}

In questo esempio, l'istruzione di policy IAM utilizza la condzione kms:MultiRegionKeyType per consentire ai principali di pianificare e annullare l'eliminazione delle chiavi, ma solo sulle chiavi di replica multi-regione.

{
  "Effect": "Allow",  
  "Action": [
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": {
      "arn:aws:kms:us-west-2:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": "kms:MultiRegionKeyType": "REPLICA"
  }
} 

Autorizzazione di AWS KMS per sincronizzare le chiavi multi-regione

Per supportare Chiavi multi-regione, AWS KMS utilizza un ruolo collegato al servizio IAM. Questo ruolo dà a AWS KMS i permessi necessari per sincronizzare le proprietà condivise. È possibile visualizzare l'SynchronizeMultiRegionKey CloudTrail evento che registra la AWS KMS sincronizzazione delle proprietà condivise nei registri. AWS CloudTrail

Informazioni sul ruolo collegato ai servizi per le chiavi multi-regione

Un ruolo collegato ai servizi è un ruolo IAM che concede a un servizio AWS l'autorizzazione per chiamare altri servizi AWS a tuo nome. È concepito per facilitare l'utilizzo delle funzionalità di molteplici servizi AWS integrati senza la necessità di creare e gestire policy IAM complesse.

Per le chiavi multiregionali, AWS KMS crea il ruolo AWSServiceRoleForKeyManagementServiceMultiRegionKeyscollegato al servizio con la policy. AWSKeyManagementServiceMultiRegionKeysServiceRolePolicy Questa policy dà al ruolo l’autorizzazione kms:SynchronizeMultiRegionKey, che consente di sincronizzare le proprietà condivise delle chiavi multi-regione.

Poiché solo il ruolo AWSServiceRoleForKeyManagementServiceMultiRegionKeyscollegato al servizio è affidabilemrk.kms.amazonaws.com, solo AWS KMS può assumere questo ruolo collegato al servizio. Questo ruolo è limitato alle operazioni che AWS KMS deve sincronizzare le proprietà condivise in più regioni. Non fornisce a AWS KMS autorizzazioni aggiuntive. Ad esempio, AWS KMS non dispone dell'autorizzazione per creare, replicare o eliminare chiavi KMS.

Per ulteriori informazioni su come i servizi AWS utilizzano ruoli collegati ai servizi, consulta la pagina Uso di ruoli collegati ai servizi nella Guida per l’utente di IAM.

Creazione del ruolo collegato ai servizi

AWS KMScrea automaticamente il ruolo AWSServiceRoleForKeyManagementServiceMultiRegionKeyscollegato al servizio nel tuo Account AWS quando crei una chiave multiregionale, se il ruolo non esiste già. Non è possibile creare o ricreare direttamente questo ruolo collegato ai servizi.

Modifica della descrizione di un ruolo collegato ai servizi

Non è possibile modificare il nome del ruolo o le dichiarazioni politiche nel ruolo AWSServiceRoleForKeyManagementServiceMultiRegionKeyscollegato al servizio, ma è possibile modificare la descrizione del ruolo. Per istruzioni, consulta Modifica di un ruolo collegato ai servizi nella Guida per l'utente di IAM.

Eliminazione del ruolo collegato ai servizi

AWS KMSnon elimina il ruolo AWSServiceRoleForKeyManagementServiceMultiRegionKeyscollegato al servizio dal tuo Account AWS e non puoi eliminarlo. Tuttavia, AWS KMS non assume il AWSServiceRoleForKeyManagementServiceMultiRegionKeysruolo né utilizza alcuna delle sue autorizzazioni a meno che non si disponga di chiavi multiregionali nella propria regione. Account AWS