기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

고객 관리형 키 정책 설정

AWS 에이전트 레지스트리에서 고객 관리형 키를 사용하려면 호출 보안 주체에 대한 IAM 정책과 서비스가 암호화 및 복호화 작업을 수행하도록 허용하는 KMS 키 정책을 모두 구성해야 합니다.

사전 조건

고객 관리형 키로 레지스트리를 생성하기 전에 다음을 확인하세요.

필수 IAM 권한

암호화된 레지스트리와 상호 작용하려면 KMS 키에 대한 다음 권한이 있어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRegistryCMKAccess",
      "Effect": "Allow",
      "Action": [
        "kms:DescribeKey",
        "kms:CreateGrant",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:GenerateDataKey",
        "kms:Encrypt",
        "kms:ReEncrypt*",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "agent-registry.us-east-1.amazonaws.com"
        }
      }
    }
  ]
}

다음 값을 교체합니다.

이 kms:ViaService 조건은 권한을 AWS 에이전트 레지스트리 서비스를 통해 이루어진 요청으로 제한하여 이러한 권한이 AWS 에이전트 레지스트리 외부에서 사용되지 않도록 합니다.

고객 관리형 키에 대한 키 정책

다음 섹션에서는 AWS 에이전트 레지스트리에 필요한 KMS 키 정책 설명을 나열합니다. 서비스와 호출 보안 주체가 키를 사용할 수 있도록 KMS 키 정책에 이러한 문을 추가합니다. 키 정책에 IAM 정책을 활성화하는 기본 키 정책 문이 포함되어 있지 않거나 키가 다른 계정에 있는 경우 문을 추가해야 합니다.

키 정책은 조직의 레지스트리 페르소나를 기반으로 권한을 부여해야 합니다.

AWS 에이전트 레지스트리가 런타임에 사용자를 대신하여 키를 사용할 수 서비스 연결 역할에 대한 정책 설명 있도록 페르소나 문 외에도를 추가합니다. AWS Resource Access Manager(AWS RAM)를 사용하여 AWS 조직의 다른 계정과 레지스트리를 공유하는 경우 도 추가합니다AWS RAM을 통한 조직 액세스에 대한 정책 설명.

관리자를 위한 정책 설명

{
  "Version": "2012-10-17",
  "Statement": [
      {
      "Sid": "AllowRegistryAdminKeyValidation",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/RegistryAdminRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "agent-registry.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowRegistryAdminGrantCreation",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/RegistryAdminRole"
      },
      "Action": [
        "kms:CreateGrant"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "agent-registry.us-east-1.amazonaws.com"
        },
        "Bool": {
          "kms:GrantIsForAWSResource": "true"
        }
      }
    },
    {
      "Sid": "AllowRegistryAdminCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/RegistryAdminRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:GenerateDataKey",
        "kms:Encrypt",
        "kms:ReEncrypt*",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "agent-registry.us-east-1.amazonaws.com",
          "kms:EncryptionContext:aws:agent-registry:registry-arn": "arn:aws:agent-registry:us-east-1:111122223333:registry/my-registry-id"
        }
      }
    }
  ]
}

게시자에 대한 정책 설명

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRegistryPublisherCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/RegistryPublisherRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:GenerateDataKey",
        "kms:Encrypt",
        "kms:ReEncrypt*",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "agent-registry.us-east-1.amazonaws.com",
          "kms:EncryptionContext:aws:agent-registry:registry-arn": "arn:aws:agent-registry:us-east-1:111122223333:registry/my-registry-id"
        }
      }
    }
  ]
}

소비자를 위한 정책 설명

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRegistryConsumerDecrypt",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/RegistryConsumerRole"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "agent-registry.us-east-1.amazonaws.com",
          "kms:EncryptionContext:aws:agent-registry:registry-arn": "arn:aws:agent-registry:us-east-1:111122223333:registry/my-registry-id"
        }
      }
    }
  ]
}

서비스 연결 역할에 대한 정책 설명

AWS Agent Registry의 서비스 연결 역할에 런타임 시 키를 사용할 수 있는 권한을 부여합니다. 서비스는이 역할을 사용하여 사용자를 대신하여 레코드 설명자를 암호화하고 해독합니다.

이 문을 추가하려면 순서가 지정된 두 단계가 필요합니다.

암호화 컨텍스트 와일드카드를 사용하여 계정의 레지스트리로 문의 범위를 지정합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRegistrySlrCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/aws-service-role/agent-registry.amazonaws.com/AWSServiceRoleForAgentRegistry"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Encrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:agent-registry:registry-arn": "arn:aws:agent-registry:us-east-1:111122223333:registry/*"
        }
      }
    }
  ]
}

AWS RAM을 통한 조직 액세스에 대한 정책 설명

AWS Resource Access Manager(AWS RAM)를 사용하여 customer-managed-key-encrypted 레지스트리를 AWS 조직의 다른 계정과 공유하는 경우이 문을 추가합니다. 조직의 모든 보안 주체에게 공유된 레지스트리에서 레코드 설명자를 해독할 수 있는 권한을 부여합니다. AWS RAM을 통해 레지스트리를 공유하지 않는 경우이 문은 필요하지 않습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOrganizationDecrypt",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "o-EXAMPLE1234"
        }
      }
    }
  ]
}

키 정책 설명의 값 바꾸기

각 키 정책 설명에서 다음 값을 바꿉니다.