翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS KMS の ABAC

属性ベースのアクセスコントロール (ABAC) は、属性に基づいてアクセス許可を定義する認可の方法です。AWS KMS は、KMS キーに関連付けられたタグとエイリアスに基づいてカスタマーマネージドキーへのアクセスを制御することで、ABAC をサポートします。AWS KMS の ABAC を有効にするタグおよびエイリアスの条件キーは、ポリシーを編集したりグラントを管理したりすることなく、プリンシパルに KMS キーの使用を許可する強力で柔軟な方法を提供します。ただし、プリンシパルが誤ってアクセスを許可されたり拒否されないように、注意してこれらの機能を使用する必要があります。

ABAC を使用する場合は、タグとエイリアスを管理する許可が、アクセス制御許可になることに注意してください。タグまたはエイリアスに依存するポリシーをデプロイする前に、すべての KMS キーの既存のタグとエイリアスを把握していることを確認してください。エイリアスの追加、削除、更新時、およびキーのタグ付けおよびタグ解除時には、妥当な予防措置を講じます。タグとエイリアスを必要とするプリンシパルにのみ管理する許可を付与し、管理できるタグとエイリアスを制限します。

詳細はこちら

AWS KMS のABAC 条件キー

タグとエイリアスに基づいて KMS キーへのアクセスを認可するには、キーポリシーまたは IAM ポリシーで次の条件キーを使用します。

¹ キーポリシーで使用できる条件キーは、IAM ポリシーでも使用できます。ただし、キーポリシーによって許可される場合に限ります。

² KMS キーのリソースオペレーションは、特定の KMS キーに対して認可されるオペレーションです。KMS キーリソースオペレーションを識別するには、AWS KMS アクセス許可の表で、オペレーションの Resources 列の KMS キー値を探します。

例えば、これらの条件キーを使用して、次のポリシーを作成できます。

ABAC は、アクセス管理を柔軟かつスケーラブルにします。例えば、aws:ResourceTag/tag-key 条件キーを使用して、KMS キーが Purpose=Test タグを持つ場合にのみ、プリンシパルが指定されたオペレーションに KMS キーを使用することを許可する IAM ポリシーを作成します。このポリシーは、AWS アカウント のすべてのリージョンの KMS キーに適用されます。

ユーザーまたはロールにアタッチされると、以下の IAM ポリシーにより、プリンシパルは指定されたオペレーションの Purpose=Test タグで既存のKMS キーを使用できるようになります。新規または既存の KMS キーにこのアクセスを提供するためにポリシーを変更する必要はありません。単に、KMS キーに Purpose=Test タグをアタッチします。同様に、Purpose=Test タグでこのアクセスを KMS キーから削除するには、タグを編集または削除します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AliasBasedIAMPolicy",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:*:111122223333:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Purpose": "Test"
        }
      }
    }
  ]
}

ただし、この機能を使用する場合は、タグとエイリアスを管理する際に注意が必要です。タグまたはエイリアスを追加、変更、削除する際に、KMS キーへのアクセスを誤って許可または拒否する可能性があります。キーポリシーを変更したり、グラントを作成したりする許可を持たないキー管理者も、タグとエイリアスを管理する許可があれば、KMS キーへのアクセスを制御できます。このリスクを軽減するには、タグおよびエイリアスを管理する許可の制限を検討します。例えば、選択したプリンシパルのみが Purpose=Test タグを管理できるようにします。詳細については、「エイリアスを使用してKMSキーへのアクセスを制御する」および「タグを使用して KMS キーへのアクセスを制御する」を参照してください。

タグまたはエイリアス

AWS KMS は、タグとエイリアスで ABAC をサポートします。どちらのオプションも、柔軟でスケーラブルなアクセス制御方法を提供しますが、互いに若干異なります。

タグを使用するか、特定の AWS 使用パターンに基づいてエイリアスを使用するかを決定します。例えば、すでにほとんどの管理者にタグ付け許可を付与している場合は、エイリアスに基づいて認可の方法を制御する方が簡単です。または、KMS キーごとのエイリアスのクォータに近づいている場合、タグに基づく認可の方法の方が得策かもしれません。

以下は、一般的な利点です。

タグベースのアクセスコントロールの利点

エイリアスベースのアクセス制御の利点