エイリアスへのアクセスの制御

kms:CreateAlias エイリアスの場合。エイリアスの作成が許可されているプリンシパルにアタッチされたIAMポリシーに、このアクセス許可を付与します。

次のポリシーステートメントの例では、Resource エレメントの特定のエイリアスを指定します。ただし、複数のエイリアスを一覧表示ARNsしたり、「test*」などのエイリアスパターンを指定したりできます。Resource 値を "*" に指定すると、プリンシパルがアカウントとリージョンで任意のエイリアスを作成できるようになります。エイリアスを作成する権限は、アカウントおよびリージョン内のすべてのリソースに対する kms:Create* 権限に含めることもできます。

{
  "Sid": "IAMPolicyForAnAlias",
  "Effect": "Allow",
  "Action": [
    "kms:CreateAlias",
    "kms:UpdateAlias",
    "kms:DeleteAlias"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:alias/test-key"
}

kms:CreateAlias KMSキー用。このアクセス許可は、キーポリシーまたはキーIAMポリシーから委任されたポリシーで指定する必要があります。

{
  "Sid": "Key policy for 1234abcd-12ab-34cd-56ef-1234567890ab",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:user/KMSAdminUser"},
  "Action": [
    "kms:CreateAlias",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

kms:UpdateAlias エイリアスの場合。このアクセス許可は、プリンシパルにアタッチされているIAMポリシーで付与します。次のIAMポリシーは、特定のエイリアスを指定します。ただし、複数のエイリアスを一覧表示ARNsしたり、 などのエイリアスパターンを指定したりできます"test*"。"*" の Resource 値を指定することで、プリンシパルがアカウントとリージョンで任意のエイリアスを更新できるようにもなります。

{
  "Sid": "IAMPolicyForAnAlias",
  "Effect": "Allow",
  "Action": [
    "kms:UpdateAlias",
    "kms:ListAliases",
    "kms:ListKeys"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:alias/test-key"
}

kms:UpdateAlias エイリアスに現在関連付けられているKMSキー。このアクセス許可は、キーポリシーまたはキーIAMポリシーから委任されたポリシーで指定する必要があります。

{
  "Sid": "Key policy for 1234abcd-12ab-34cd-56ef-1234567890ab",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:user/KMSAdminUser"},
  "Action": [
    "kms:UpdateAlias",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

kms:UpdateAlias オペレーションがエイリアスに関連付けるKMSキー。このアクセス許可は、キーポリシーまたはキーIAMポリシーから委任されたポリシーで指定する必要があります。

{
  "Sid": "Key policy for 0987dcba-09fe-87dc-65ba-ab0987654321",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:user/KMSAdminUser"},
  "Action": [
    "kms:UpdateAlias", 
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

kms:DeleteAlias エイリアスの場合。エイリアスの削除が許可されているプリンシパルにアタッチされたIAMポリシーに、このアクセス許可を付与します。

次のポリシーステートメントの例は、 Resource エレメントのエイリアスを指定します。ただし、複数のエイリアスを一覧表示ARNsしたり、 などのエイリアスパターンを指定したりできます。 Resourceの値を指定"*"して"test*"、プリンシパルがアカウントとリージョン内のエイリアスを削除できるようにすることもできます。

{
  "Sid": "IAMPolicyForAnAlias",
  "Effect": "Allow",
  "Action": [
    "kms:CreateAlias",
    "kms:UpdateAlias",
    "kms:DeleteAlias"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:alias/test-key"
}

kms:DeleteAlias は、関連付けられたKMSキー用です。このアクセス許可は、キーポリシーまたはキーIAMポリシーから委任されたポリシーで指定する必要があります。

{
  "Sid": "Key policy for 1234abcd-12ab-34cd-56ef-1234567890ab",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:user/KMSAdminUser"
  },
  "Action": [
    "kms:CreateAlias",
    "kms:UpdateAlias",
    "kms:DeleteAlias",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}