の グラント AWS KMS

グラントのアクセス許可を制限する条件。現在、 は、暗号化オペレーションのリクエストの暗号化コンテキストに基づく許可制約 AWS KMS をサポートしています。詳細については、「グラントの制約の使用」を参照してください。

KMS キーの許可の一意の識別子。または RetireGrantRevokeGrantリクエストで許可を識別するために、 許可 ID とキー識別子 を使用できます。

グラントで許可できる AWS KMS オペレーション。他のオペレーションを指定した場合、CreateGrantリクエストはValidationError例外で失敗します。これらは、グラントトークンを承認するオペレーションでもあります。これらのアクセス許可の詳細については、AWS KMS アクセス許可 を参照してください。

これらのグラントオペレーションは、オペレーションを使用するアクセス許可を表します。したがって、ReEncrypt オペレーションの場合、ReEncryptFrom、ReEncryptTo、または両方の ReEncrypt* を指定できます。

グラントオペレーション:

許可する許可オペレーションは、許可の KMS キーでサポートされている必要があります。サポートされていないオペレーションを指定すると、CreateGrantリクエストはValidationError例外で失敗します。例えば、対称暗号化KMSキーの許可では、署名 、検証 、GenerateMacまたは VerifyMacオペレーションを許可できません。非対称KMSキーの許可は、データキーまたはデータキーペアを生成するオペレーションを許可できません。

は最終的な整合性モデル AWS KMS APIに従います。グラントを作成すると、変更が AWS KMS全体に適用されるまでに若干の遅延が生じることがあります。通常、変更がシステム全体に反映されるまでに数秒もかかりませんが、場合によっては数分かかることがあります。グラントがシステム全体に完全に伝播される前に使用しようとすると、アクセス拒否エラーが発生することがあります。グラントトークンを使用すると、グラントを参照し、グラントのアクセス許可をすぐに使用できます。

グラントトークンは、一意、非シークレット、可変長、base64 エンコードの、グラントを表す文字列です。グラントトークンを使用して、任意のグラントオペレーションでグラントを識別できます。ただし、トークン値はハッシュダイジェストであるため、グラントの詳細は明らかになりません。

グラントトークンは、グラントが  AWS KMS 全体に完全に伝播されるまでにのみ使用されるように設計されています。その後、被付与者プリンシパルは、グラントトークンやその他のグラント限の証拠を提供することなく、グラントでアクセス許可を使用することができます。付与トークンはいつでも使用できますが、付与が最終的に一貫していれば、 は付与トークンではなく、アクセス許可を決定するために付与 AWS KMS を使用します。

例えば、次のコマンドは GenerateDataKeyオペレーションを呼び出します。付与トークンを使用して、発信者 (被付与者プリンシパル) に指定されたKMSキーGenerateDataKeyを呼び出すアクセス許可を付与する付与を表します。

$ aws kms generate-data-key \
        --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
        --key-spec AES_256 \
        --grant-token $token

また、グラントトークンを使用して、グラントを管理するオペレーションでグラントを識別することもできます。例えば、廃止プリンシパルは、 RetireGrantオペレーションへの呼び出しで許可トークンを使用できます。

$ aws kms retire-grant \
        --grant-token $token

CreateGrant は、グラントトークンを返す唯一のオペレーションです。他の AWS KMS オペレーションまたは CreateGrant オペレーションのCloudTrail ログイベントから許可トークンを取得することはできません。ListGrants および ListRetirableGrantsオペレーションは、グラント ID を返しますが、グラントトークンは返しません。

詳細については、「グラントトークンを使用する」を参照してください。

グラントで指定されたアクセス許可を取得する ID。各グラントはそれぞれ 1 つの被付与者プリンシパルを持っていますが、この被付与者プリンシパルは複数の ID を代表することができます。

被付与者のプリンシパルは、 AWS アカウント （ルート）、IAMユーザー 、IAMロール 、フェデレーティッドロールまたはユーザー 、または引き受けたロールユーザーを含む任意のプリン AWS シパルにすることができます。被付与者のプリンシパルは、KMSキーと同じアカウントにあることも、別のアカウントにあることもできます。ただし、被付与者プリンシパルは、サービスプリンシパル 、IAMグループ 、またはAWS 組織 にすることはできません。

グラントを終了します。アクセス許可の使用が終了したら、グラントを廃止にします。

グラントの取り消しと使用停止のどちらも、グラント限を削除します。ただし、使用停止はグラントで指定されたプリンシパルによって行われます。通常、取り消しはキー管理者が行います。詳細については、「グラントの使用停止と取り消し」を参照してください。

グラントを廃止にするプリンシパル。グラントで使用停止プリンシパルを指定できますが、必須ではありません。廃止プリンシパルは、、IAMユーザー、IAMロール AWS アカウント、フェデレーティッドユーザー、および引き受けたロールユーザーを含む任意のプリンシ AWS パルにすることができます。廃止するプリンシパルは、KMSキーと同じアカウントにあることも、別のアカウントにあることもできます。

グラントで指定されたプリンシパルの廃止に加えて、グラントは、グラントが作成された AWS アカウント によって廃止できます。グラントで RetireGrant オペレーションが許可されている場合は、被付与者プリンシパルがグラントを廃止にできます。また、廃止プリンシパル AWS アカウント である AWS アカウント または は、同じ のプリンシIAMパルに付与を廃止するアクセス許可を委任できます AWS アカウント。詳細については、「グラントの使用停止と取り消し」を参照してください。

グラントを終了します。グラントを取り消して、グラントが許可するアクセス許可をアクティブに拒否します。

権限の取り消しと使用停止のどちらも、権限を削除します。ただし、使用停止はグラントで指定されたプリンシパルによって行われます。通常、取り消しはキー管理者が行います。詳細については、「グラントの使用停止と取り消し」を参照してください。

は、最終的な整合性モデル AWS KMS APIに従います。グラントの作成、廃止、または取り消しを行うと、変更が AWS KMS全体に適用されるまでに若干の遅延が生じることがあります。通常、変更がシステム全体に反映されるまでに数秒もかかりませんが、場合によっては数分かかることがあります。

想定外のエラーが発生する場合は、この短い遅延に注意する必要があります。例えば、 全体で許可が認識される前に、新しい許可を管理したり、新しい許可で許可を使用したりしようとすると AWS KMS、アクセス拒否エラーが発生する可能性があります。グラントを廃止にするか取り消す場合でも、被付与者プリンシパルは、グラントが完全に削除されるまで、そのアクセス許可を短い期間使用できる可能性があります。一般的な戦略は、リクエストを再試行することです。中には、自動バックオフと再試行ロジックが含まれるものもあります AWS SDKs。

AWS KMS には、この短い遅延を軽減する機能があります。

詳細については、「AWS KMS  の結果整合性」を参照してください。