기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS KMS 조건 키

AWS KMS 는 키 정책 및 IAM 정책에 사용할 수 있는 조건 키 세트를 제공합니다. 이러한 조건 키는 에만 해당됩니다 AWS KMS. 예를 들어 대칭 암호화 키에 대한 액세스를 제어할 때 kms:EncryptionContext:context-key 조건 KMS 키를 사용하여 특정 암호화 컨텍스트를 요구할 수 있습니다. 암호화 컨텍스트

API 작업 요청 조건

많은 AWS KMS 조건 키는 AWS KMS 작업 요청의 파라미터 값을 기반으로 KMS 키에 대한 액세스를 제어합니다. 예를 들어 IAM 정책의 kms:KeySpec 조건 키를 사용하여 CreateKey 요청의 KeySpec 파라미터 값이 인 경우에만 CreateKey 작업을 사용할 수 있습니다RSA_4096.

이 유형의 조건은 파라미터의 기본값을 사용하는 경우와 같이 요청에 파라미터가 나타나지 않는 경우에도 작동합니다. 예를 들어 kms:KeySpec 조건 키를 사용하여 사용자가 기본값SYMMETRIC_DEFAULT인 KeySpec 파라미터 값이 인 경우에만 CreateKey 작업을 사용하도록 허용할 수 있습니다. 이 조건은 KeySpec 파라미터 값이 SYMMETRIC_DEFAULT인 요청과 KeySpec 파라미터가 없는 요청을 허용합니다.

API 작업에 사용되는 KMS 키의 조건

일부 AWS KMS 조건 키는 작업에 사용되는 KMS 키의 속성을 기반으로 작업에 대한 액세스를 제어할 수 있습니다. 예를 들어 kms:KeyOrigin 조건을 사용하여 KMS 키Origin의 가 인 경우에만 보안 주체가 KMS 키를 GenerateDataKey 호출하도록 허용할 수 있습니다AWS_KMS. 이러한 방식으로 조건 키를 사용할 수 있는지 확인하려면 조건 키의 설명을 참조하십시오.

작업은 KMS 키 리소스 작업, 즉 특정 KMS 키에 대해 승인된 작업이어야 합니다. KMS 키 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key에서 값을 찾습니다. 와 같은 특정 키 리소스ListKeys에 대해 승인되지 않은 작업에서 이 유형의 조건 KMS 키를 사용하는 경우 조건을 충족할 수 없으므로 권한이 유효하지 않습니다. ListKeys 작업 권한 부여와 관련된 KMS 키 리소스와 KeySpec 속성은 없습니다.

다음 주제에서는 각 AWS KMS 조건 키를 설명하고 정책 구문을 보여주는 예제 정책 문을 포함합니다.

조건 키와 함께 집합 연산자 사용

정책 조건이 요청의 태그 세트와 정책의 태그 세트와 같은 두 값 세트를 비교하는 경우 세트를 비교하는 AWS 방법을 알려주어야 합니다. IAM 는 이를 위해 두 세트 연산자 ForAnyValue 및 ForAllValues를 정의합니다. 세트 연산자는 세트 연산자를 필요로 하는 다중값 조건 키(multi-valued condition keys)에만 사용합니다. 단일 값 조건 키(single-valued condition keys)에는 집합 연산자를 사용하지 마세요. 항상 정책문을 프로덕션 환경에서 사용하기 전에 철저히 테스트합니다.

조건 키는 단일 값이거나 다중 값입니다. AWS KMS 조건 키가 단일 값인지 다중 값인지 확인하려면 조건 키 설명의 값 유형 열을 참조하세요.

단일 값 조건 키와 다중값 조건 키의 차이는 정책 조건의 값 수가 아니라 권한 부여 컨텍스트의 값 수에 따라 달라집니다.

ForAnyValue 및 ForAllValues 세트 연산자에 대한 자세한 내용은 IAM 사용 설명서의 여러 키 및 값 사용을 참조하세요. 단일 값 조건에서 ForAllValues 세트 연산자를 사용할 경우의 위험에 대한 자세한 내용은 IAM 사용 설명서의 보안 경고 - 단일 값 키 ForAllValues 사용 단원을 참조하세요.

km:BypassPolicyLockoutSafetyCheck

kms:BypassPolicyLockoutSafetyCheck 조건 키는 요청의 BypassPolicyLockoutSafetyCheck 파라미터 값에 따라 CreateKey 및 PutKeyPolicy 작업에 대한 액세스를 제어합니다.

다음 예제 IAM 정책 문은 CreateKey 사용자가 요청의 BypassPolicyLockoutSafetyCheck 파라미터 값이 인 경우 KMS 키를 생성할 수 있는 권한을 거부하여 정책 잠금 안전 확인을 우회하는 것을 방지합니다. true.

{
  "Effect": "Deny",
  "Action": [
    "kms:CreateKey",
    "kms:PutKeyPolicy"
  ],
  "Resource": "*",
  "Condition": {
    "Bool": {
      "kms:BypassPolicyLockoutSafetyCheck": true
    }
  }
}

IAM 정책 또는 키 정책에서 kms:BypassPolicyLockoutSafetyCheck 조건 키를 사용하여 PutKeyPolicy 작업에 대한 액세스를 제어할 수도 있습니다. 키 정책의 다음 예제 정책 문은 KMS 사용자가 키의 정책을 변경할 때 정책 잠금 안전 확인을 우회하지 못하도록 합니다.

명시적 Deny를 사용하는 대신에, 이 정책문에서는 Null 조건 연산자와 Allow를 함께 사용하여 요청에 BypassPolicyLockoutSafetyCheck 파라미터가 포함되지 않을 때만 액세스를 허용합니다. 이 파라미터를 사용하지 않는 경우 기본값은 false입니다. 이와 같이 강도가 조금 낮은 정책문은 극히 드문 경우지만 우회가 필요할 경우 재정의할 수 있습니다.

{
  "Effect": "Allow",
  "Action": "kms:PutKeyPolicy",
  "Resource": "*",
  "Condition": {
    "Null": {
      "kms:BypassPolicyLockoutSafetyCheck": true
    }
  }
}

참고 항목

km:CallerAccount

이 조건 키를 사용해 AWS 계정의 모든 ID(사용자와 역할)에 대한 액세스를 허용하거나 거부할 수 있습니다. 키 정책에서 Principal 요소를 이용해 정책문이 적용될 자격 증명을 지정합니다. Principal 요소에 대한 구문은 AWS 계정의 모든 자격 증명을 지정하는 방법을 제공하지 않지만, 하지만 이 조건 키를 모든 AWS 자격 증명을 지정하는 Principal 요소와 결합하여 이 효과를 달성할 수 있습니다.

이를 사용하여 모든 KMS 키 리소스 작업, 즉 특정 KMS 키를 사용하는 모든 AWS KMS 작업에 대한 액세스를 제어할 수 있습니다. KMS 주요 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key의 값을 찾습니다. 사용자 지정 키 스토어를 관리하는 작업에도 유효합니다.

예를 들어 다음 키 정책문은 kms:CallerAccount 조건 키를 사용하는 방법을 보여줍니다. 이 정책 문은 Amazon AWS 관리형 키 용 의 키 정책에 있습니다EBS. 모든 AWS 자격 증명을 조건 kms:CallerAccount 키와 지정하는 Principal 요소를 결합하여 AWS 계정 111122223333의 모든 자격 증명에 대한 액세스를 효과적으로 허용합니다. 여기에는 Amazon 를 통해 들어오는 요청만 허용하여 권한을 추가로 제한하는 추가 AWS KMS 조건 키(kms:ViaService)가 포함되어 있습니다EBS. 자세한 내용은 km:ViaService 단원을 참조하십시오.

{
  "Sid": "Allow access through EBS for all principals in the account that are authorized to use EBS",
  "Effect": "Allow",
  "Principal": {"AWS": "*"},
  "Condition": {
    "StringEquals": {
      "kms:CallerAccount": "111122223333",
      "kms:ViaService": "ec2.us-west-2.amazonaws.com"
    }
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:CreateGrant",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

kms:CustomerMasterKeySpec (사용되지 않음)

kms:CustomerMasterKeySpec 조건 키는 더 이상 사용되지 않습니다. 대신 kms:KeySpec 조건 키를 사용합니다.

kms:CustomerMasterKeySpec 및 kms:KeySpec 조건 키는 같은 방식으로 작동하며, 이름만 다릅니다. kms:KeySpec을 사용할 것을 권장합니다. 그러나 변경 사항을 중단하지 않도록 는 두 조건 키를 모두 AWS KMS 지원합니다.

kms:CustomerMasterKeyUsage (사용되지 않음)

kms:CustomerMasterKeyUsage 조건 키는 더 이상 사용되지 않습니다. 대신 kms:KeyUsage 조건 키를 사용합니다.

kms:CustomerMasterKeyUsage 및 kms:KeyUsage 조건 키는 같은 방식으로 작동하며, 이름만 다릅니다. kms:KeyUsage을 사용할 것을 권장합니다. 그러나 변경 사항을 중단하지 않도록 는 두 조건 키를 모두 AWS KMS 지원합니다.

km:DataKeyPairSpec

이 조건 키를 사용하여 요청의 KeyPairSpec 파라미터 값에 따라 GenerateDataKeyPair 및 GenerateDataKeyPairWithoutPlaintext 작업에 대한 액세스를 제어할 수 있습니다. 예를 들어 사용자가 특정 유형의 데이터 키 페어만 생성하도록 허용할 수 있습니다.

다음 예제 키 정책 문은 kms:DataKeyPairSpec 조건 키를 사용하여 사용자가 KMS 키를 사용하여 RSA 데이터 키 페어만 생성할 수 있도록 허용합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": [
    "kms:GenerateDataKeyPair",
    "kms:GenerateDataKeyPairWithoutPlaintext"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:DataKeyPairSpec": "RSA*"
    }
  }
}

참고 항목

km:EncryptionAlgorithm

kms:EncryptionAlgorithm 조건 키를 사용하여 작업에 사용되는 암호화 알고리즘을 기반으로 암호화 작업에 대한 액세스를 제어할 수 있습니다. 암호화 , 복호화 및 ReEncrypt 작업의 경우 요청의 EncryptionAlgorithm 파라미터 값에 따라 액세스를 제어합니다. 데이터 키 및 데이터 키 페어를 생성하는 작업의 경우 데이터 키를 암호화하는 데 사용되는 암호화 알고리즘을 기반으로 액세스를 제어합니다.

이 조건 키는 외부의 비대칭 키 KMS 페어에서 퍼블릭 키를 사용한 암호화 AWS KMS와 같이 외부에서 수행되는 작업에 영향을 주지 않습니다 AWS KMS.

EncryptionAlgorithm 요청의 파라미터

사용자가 KMS 키와 함께 특정 암호화 알고리즘만 사용하도록 허용하려면 Deny 효과와 StringNotEquals 조건 연산자가 있는 정책 문을 사용합니다. 예를 들어, 다음 예제 키 정책 문은 요청의 암호화 알고리즘이 KMS 키와 함께 사용되는 비대칭 암호화 알고리즘RSAES_OAEP_SHA_256인 가 아닌 한 ExampleRole 역할을 수임할 수 있는 보안 주체가 지정된 암호화 작업에서 이 RSA KMS 키를 사용하는 것을 금지합니다.

사용자가 특정 암호화 알고리즘을 사용할 수 있도록 허용하는 정책 문과 달리, 이 정책과 같은 이중 음수가 있는 정책 문은 이 KMS 키에 대해 이 역할이 다른 암호화 알고리즘을 사용할 수 있도록 허용하는 다른 정책 및 권한 부여를 방지합니다. 이 키 정책 설명Deny의 는 Allow 효과가 있는 모든 키 정책 또는 IAM 정책보다 우선하며 이 KMS 키 및 해당 보안 주체에 대한 모든 권한 부여보다 우선합니다.

{
  "Sid": "Allow only one encryption algorithm with this asymmetric KMS key",
  "Effect": "Deny",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*"
  ],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "kms:EncryptionAlgorithm": "RSAES_OAEP_SHA_256"
    }
  }
}

작업에 사용되는 암호화 알고리즘

또한 kms:EncryptionAlgorithm 조건 키를 사용하여 알고리즘이 요청에 지정되지 않은 경우에도 작업에 사용된 암호화 알고리즘을 기반으로 작업에 대한 액세스를 제어할 수 있습니다. 이를 통해 SYMMETRIC_DEFAULT 알고리즘을 요구하거나 금지할 수 있습니다. 이 알고리즘은 기본값이기 때문에 요청에 지정되지 않을 수 있습니다.

kms:EncryptionAlgorithm 조건 키를 사용하여 데이터 키 및 데이터 키 페어를 생성하는 작업에 대한 액세스도 제어할 수 있습니다. 이러한 작업은 대칭 암호화 KMS 키와 SYMMETRIC_DEFAULT 알고리즘만 사용합니다.

예를 들어 이 IAM 정책은 보안 주체를 대칭 암호화로 제한합니다. 요청에 지정되거나 작업에 사용되는 암호화 알고리즘이 SYMMETRIC_가 아닌 한 암호화 작업에 대한 예제 계정의 모든 KMS 키에 대한 액세스를 거부합니다DEFAULT. 를 포함하면 권한GenerateDataKeyPairWithoutPlaintext에 , GenerateDataKeyPair, 및 GenerateDataKey GenerateDataKeyWithoutPlaintext가 GenerateDataKey* 추가됩니다. 조건은 항상 대칭 암호화 알고리즘을 사용하기 때문에 이러한 작업에 영향을 주지 않습니다.

{
  "Sid": "AllowOnlySymmetricAlgorithm",
  "Effect": "Deny",
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:key/*",
  "Condition": {
    "StringNotEquals": {
      "kms:EncryptionAlgorithm": "SYMMETRIC_DEFAULT"
    }
  }
}

참고 항목

kms:EncryptionContext:context-key

kms:EncryptionContext:context-key 조건 키를 사용하여 암호화 작업 요청의 암호화 컨텍스트를 기반으로 대칭 암호화 KMS 키에 대한 액세스를 제어할 수 있습니다. 이 조건 키를 사용하여 암호화 컨텍스트 페어의 키와 값을 평가합니다. 키 또는 값에 관계없이 암호화 컨텍스트 키만 평가하거나 암호화 컨텍스트가 필요한 경우 kms:EncryptionContextKeys 조건 키를 사용합니다.

비대칭 KMS 키 또는 키 를 사용하는 암호화 작업에서는 암호화 컨텍스트를 지정할 수 없습니다HMACKMS. 비대칭 알고리즘과 MAC 알고리즘은 암호화 컨텍스트를 지원하지 않습니다.

kms:EncryptionContext:context-key 조건 키를 사용하려면 context-key 암호화 컨텍스트 키가 있는 자리 표시자입니다. 교체 context-value 암호화 컨텍스트 값이 있는 자리 표시자입니다.

"kms:EncryptionContext:context-key": "context-value"

예를 들어, 다음 조건 키는 키가 AppName이고 값이 ExampleApp (AppName = ExampleApp)인 암호화 컨텍스트를 지정합니다.

"kms:EncryptionContext:AppName": "ExampleApp"

이것은 단일 값 조건 키입니다. 조건 키의 키는 특정 암호화 컨텍스트 키(context-key)입니다. 각 API 요청에 여러 암호화 컨텍스트 페어를 포함할 수 있지만 지정된 컨텍스트 키가 있는 암호화 컨텍스트 페어는 하나의 값만 가질 수 있습니다. 예를 들어, kms:EncryptionContext:Department 조건 키는 Department 키가 있는 암호화 컨텍스트 페어에만 적용되며 Department 키가 있는 지정된 암호화 컨텍스트 페어에는 하나의 값만 있을 수 있습니다.

kms:EncryptionContext:context-key 조건 키와 함께 집합 연산자를 사용하지 마십시오. Allow 작업, kms:EncryptionContext:context-key 조건 키 및 ForAllValues 집합 연산자를 사용하여 정책문을 생성하는 경우 조건은 암호화 컨텍스트가 없는 요청과 정책 조건에 지정되지 않은 암호화 컨텍스트 페어가 있는 요청을 허용합니다.

특정 암호화 컨텍스트 페어를 요구하려면 StringEquals 연산자와 함께 kms:EncryptionContext:context-key 조건 키를 사용하세요.

다음 예제 키 정책 문에서는 역할을 수임할 수 있는 보안 주체가 GenerateDataKey 요청의 암호화 컨텍스트에 AppName:ExampleApp 페어가 포함된 경우에만 요청에서 KMS 키를 사용할 수 있도록 허용합니다. 다른 암호화 컨텍스트 페어가 허용됩니다.

키 이름은 대/소문자를 구분하지 않습니다. 값의 대소문자 구분은 StringEquals와 같은 조건 연산자에 의해 결정됩니다. 세부 정보는 암호화 컨텍스트 조건의 대/소문자 구분을 참조하세요.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:AppName": "ExampleApp"
    }
  }
}

암호화 컨텍스트 페어가 필요하고 다른 모든 암호화 컨텍스트 페어를 금지하려면 정책 설명kms:EncryptionContextKeys에서 kms:EncryptionContext:context-key 및 를 모두 사용합니다. 다음 키 정책문은 kms:EncryptionContext:AppName 조건을 사용하여 요청에 AppName=ExampleApp 암호화 컨텍스트 페어를 요구합니다. 또한 ForAllValues 집합 연산자와 함께 kms:EncryptionContextKeys 조건 키를 사용하여 AppName 암호화 컨텍스트 키만 허용합니다.

ForAllValues 집합 연산자는 요청의 암호화 컨텍스트 키를 AppName으로 제한합니다. ForAllValues 집합 연산자가 있는 kms:EncryptionContextKeys 조건이 정책문에서 단독으로 사용된 경우 이 집합 연산자는 암호화 컨텍스트가 없는 요청을 허용합니다. 그러나 요청에 암호화 컨텍스트가 없으면 kms:EncryptionContext:AppName 조건이 실패합니다. ForAllValues 세트 연산자에 대한 자세한 내용은 IAM 사용 설명서의 여러 키 및 값 사용을 참조하세요.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/KeyUsers"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:AppName": "ExampleApp"
    },
    "ForAllValues:StringEquals": {
      "kms:EncryptionContextKeys": [
        "AppName"
      ]
    }
  }
}  

또한 이 조건 키를 사용하여 특정 작업의 KMS 키에 대한 액세스를 거부할 수 있습니다. 다음 예제 키 정책 문은 요청의 암호화 컨텍스트에 Stage=Restricted 암호화 컨텍스트 페어가 포함된 경우 보안 주체가 KMS 키를 사용하는 것을 금지하는 Deny 효과를 사용합니다. 이 조건은 Stage 키 및 Stage=Test와 같은 기타 값이 있는 암호화 컨텍스트 페어를 포함하여 다른 암호화 컨텍스트 페어로 요청을 허용합니다.

{
  "Effect": "Deny",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:Stage": "Restricted"
    }
  }
}

여러 암호화 컨텍스트 페어 사용

여러 암호화 컨텍스트 페어를 요구하거나 금지할 수 있습니다. 여러 암호화 컨텍스트 페어 중 하나를 요구할 수도 있습니다. 이러한 조건을 해석하는 데 사용되는 로직에 대한 자세한 내용은 IAM 사용 설명서의 여러 키 또는 값을 사용하여 조건 생성을 참조하세요.

여러 암호화 컨텍스트 쌍을 요구하려면 동일한 조건의 쌍을 나열합니다. 다음 예제 키 정책문에는 두 개의 암호화 컨텍스트 쌍인 Department=IT와 Project=Alpha가 필요합니다. 조건에는 키(kms:EncryptionContext:Department 및 kms:EncryptionContext:Project)가 다르기 때문에 연AND산자에 의해 암시적으로 연결됩니다. 다른 암호화 컨텍스트 쌍은 허용되지만 필수는 아닙니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:Department": "IT",
      "kms:EncryptionContext:Project": "Alpha"
    }
  }
}

하나의 암호화 컨텍스트 쌍 또는 다른 쌍을 요구하려면 각 조건 키를 별도의 정책문에 배치합니다. 다음 예제 키 정책은 Department=IT 또는 Project=Alpha 쌍이나 둘 다 사용할 수 있습니다. 다른 암호화 컨텍스트 쌍은 허용되지만 필수는 아닙니다.

{
 "Effect": "Allow",
 "Principal": {
  "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
 },
 "Action": "kms:GenerateDataKey",
 "Resource": "*",
 "Condition": {
  "StringEquals": {
   "kms:EncryptionContext:Department": "IT"
  }
 }
},
{
 "Effect": "Allow",
 "Principal": {
  "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
 },
 "Action": "kms:GenerateDataKey",
 "Resource": "*",
 "Condition": {
  "StringEquals": {
   "kms:EncryptionContext:Project": "Alpha"
  }
 }
}

특정 암호화 페어를 요구하고 다른 모든 암호화 컨텍스트 페어를 제외하려면 정책 설명kms:EncryptionContextKeys에서 kms:EncryptionContext:context-key 및 를 모두 사용합니다. 다음 키 정책 문은 kms:EncryptionContext:context-key 조건을 사용하여 Department=IT 및 Project=Alpha 페어가 모두 있는 암호화 컨텍스트를 요구합니다. ForAllValues 집합 연산자와 함께 kms:EncryptionContextKeys 조건 키를 사용하여 Department 및 Project 암호화 컨텍스트 키만 허용합니다.

ForAllValues 집합 연산자는 요청의 암호화 컨텍스트 키를 Department 및 Project으로 제한합니다. 조건에서 단독으로 사용된 경우 이 세트 연산자는 암호화 컨텍스트가 없는 요청을 허용하지만 이 구성에서는 이 조건의 kms:EncryptionContext:context-key가 실패합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:Department": "IT",
      "kms:EncryptionContext:Project": "Alpha"
    },
    "ForAllValues:StringEquals": {
      "kms:EncryptionContextKeys": [
        "Department",
        "Project"
      ]
    }
  }
}  

여러 암호화 컨텍스트 쌍을 금지할 수도 있습니다. 다음 예제 키 정책 문은 요청의 암호화 컨텍스트에 Stage=Restricted 또는 Stage=Production.pair가 포함된 경우 보안 주체가 KMS 키를 사용하는 것을 금지하는 Deny 효과를 사용합니다.

동일한 키(kms:EncryptionContext:Stage)에 대한 여러 값(Restricted 및 Production)은 암시적으로 OR에 의해 연결됩니다. 자세한 내용은 IAM 사용 설명서의 여러 키 또는 값이 있는 조건에 대한 평가 로직을 참조하세요.

{
  "Effect": "Deny",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:Stage": [
         "Restricted",
         "Production"
      ] 
    }
  }
}

암호화 컨텍스트 조건의 대/소문자 구분

해독 작업에 지정된 암호화 컨텍스트는 암호화 작업에 지정된 암호화 컨텍스트에 대해 대소문자가 정확히 일치해야 합니다. 여러 쌍이 있는 암호화 컨텍스트에서 쌍의 순서만 다를 수 있습니다.

그러나 정책 조건에서 조건 키는 대소문자를 구분하지 않습니다. 조건 값의 대소문자 구분은 StringEquals 또는 StringEqualsIgnoreCase와 같이 사용하는 정책 조건 연산자에 의해 결정됩니다.

따라서 kms:EncryptionContext: 접두사와 컨텍스트 키 교체는 대소문자를 구분하지 않습니다. 이 조건을 사용하는 정책은 조건 키의 두 요소의 대소문자를 검사하지 않습니다. 값의 대/소문자 구분, 즉 컨텍스트 값 교체는 정책 조건 연산자에 의해 결정됩니다.

예를 들어 다음 정책 명령문은 대문자 사용에 관계없이 암호화 컨텍스트에 Appname키가 포함 된 경우 작업을 허용합니다. 예를 들어 다음 정책 명령문은 대문자 사용에 관계없이 암호화 컨텍스트에 StringEquals 키가 포함 된 경우 작업을 허용합니다ExampleApp.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:Appname": "ExampleApp"
    }
  }
}

대소문자를 구분하는 암호화 컨텍스트 키가 필요하려면 와 같은 대소문자를 구분하는 조건 연산자와 함께 kms:EncryptionContextKeys 정책 조건을 사용합니다StringEquals. 이 정책 조건에서는 암호화 컨텍스트 키가 이 정책 조건의 값이기 때문에 대소문자 구분은 조건 연산자에 의해 결정됩니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "ForAnyValue:StringEquals": {
      "kms:EncryptionContextKeys": "AppName"
    }
  }
}

암호화 컨텍스트 키와 값 모두에 대한 대/소문자 구분 평가를 요구하려면 동일한 정책 문에서 kms:EncryptionContextKeys 및 kms:EncryptionContext:context-key 정책 조건을 함께 사용합니다. 대소문자를 구분하는 조건 연산자(예: StringEquals)는 항상 조건의 값에 적용됩니다. 암호화 컨텍스트 키(예: AppName)는 kms:EncryptionContextKeys 조건의 값입니다. 암호화 컨텍스트 값(예: ExampleApp)은 kms:EncryptionContext:context-key 조건의 값입니다.

예를 들어, StringEquals 연산자는 대소문자를 구분하기 때문에 다음 예제 키 정책문에서는 암호화 컨텍스트 키와 암호화 컨텍스트 값 모두 대소문자를 구분합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "ForAnyValue:StringEquals": {
      "kms:EncryptionContextKeys": "AppName"
    },
    "StringEquals": {
      "kms:EncryptionContext:AppName": "ExampleApp"
    }
  }
}

암호화 컨텍스트 조건에 변수 사용

암호화 컨텍스트 쌍의 키와 값은 단순 리터럴 문자열이어야 합니다. 정수나 객체, 또는 완전히 해결되지 않는 어떤 형식도 사용할 수 없습니다. 정수 또는 부동 소수점과 같은 다른 유형을 사용하는 경우 는 이를 리터럴 문자열로 AWS KMS 해석합니다.

"encryptionContext": {
    "department": "10103.0"
}

그러나 kms:EncryptionContext:context-key 조건 키의 값은 IAM 정책 변수일 수 있습니다. 이러한 정책 변수는 런타임에 요청에 포함된 값을 기반으로 확인됩니다. 예를 들어 aws:CurrentTime 은 요청의 시간으로 확인되고 aws:username은 호출자의 표시 이름으로 확인됩니다.

이러한 정책 변수를 사용하여 암호화 컨텍스트에서 매우 구체적인 정보(예: 호출자의 사용자 이름)를 요구하는 조건을 포함하는 정책 문을 생성할 수 있습니다. 변수를 포함하기 때문에 특정 역할을 수임할 수 있는 모든 사용자에 동일한 정책 문을 사용할 수 있습니다. 사용자마다 따로 정책 문을 작성할 필요가 없습니다.

역할을 수임할 수 있는 모든 사용자가 동일한 KMS 키를 사용하여 데이터를 암호화하고 복호화하려는 상황을 고려해 보세요. 그러나 모든 사용자가 직접 암호화한 데이터만 암호화를 해제하도록 허용하려고 합니다. 먼저 모든 요청에 키가 user 이고 값이 다음과 같은 호출자의 AWS 사용자 이름인 암호화 컨텍스트를 AWS KMS 포함하도록 요구합니다.

"encryptionContext": {
    "user": "bob"
}

그런 다음 이 요구 사항을 시행하려면 다음 예제와 같은 정책 문을 사용할 수 있습니다. 이 정책 문은 TestTeam 역할이 KMS 키를 사용하여 데이터를 암호화하고 복호화할 수 있는 권한을 부여합니다. 그러나 이 권한은 요청의 암호화 컨텍스트가 "user": "<username>" 쌍을 포함하는 경우에만 유효합니다. 사용자 이름을 표현하기 위해 조건이 aws:username 정책 변수를 사용합니다.

요청이 평가될 때 호출자의 사용자 이름이 조건의 변수를 대체합니다. 따라서 조건은 "bob"에 대해서는 암호화 컨텍스트 "user": "bob"을 요구하고 "alice"에 대해서는 "user": "alice"를 요구합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/TestTeam"
  },
  "Action": [
    "kms:Decrypt",
    "kms:Encrypt"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:user": "${aws:username}"
    }
  }
}

kms:EncryptionContext:context-key 조건 키의 값에서만 IAM 정책 변수를 사용할 수 있습니다. 키에는 변수를 사용할 수 없습니다.

또한 변수에 공급자별 컨텍스트 키를 사용할 수도 있습니다. 이러한 컨텍스트 키는 웹 ID 페더레이션 AWS 을 사용하여 로그인한 사용자를 고유하게 식별합니다.

다른 모든 변수와 마찬가지로 이러한 변수도 실제 암호화 컨텍스트가 아니라 kms:EncryptionContext:context-key 정책 조건에서만 사용할 수 있습니다. 또한 키가 아니라 조건의 값에만 사용할 수 있습니다.

예를 들어 다음 키 정책 문은 이전 것과 비슷합니다. 그러나 조건은 키가 sub이고 값이 Amazon Cognito 사용자 풀에 로그인한 사용자를 고유하게 식별하는 암호화 컨텍스트를 요구합니다. Amazon Cognito 에서 사용자 및 역할을 식별하는 방법에 대한 자세한 내용은 Amazon Cognito 개발자 안내서의 IAM 역할을 참조하세요.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/TestTeam"
  },
  "Action": [
    "kms:Decrypt",
    "kms:Encrypt"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
       "kms:EncryptionContext:sub": "${cognito-identity.amazonaws.com:sub}"
    }
  }
}

참고 항목

km:EncryptionContextKeys

kms:EncryptionContextKeys 조건 키를 사용하여 암호화 작업 요청의 암호화 컨텍스트를 기반으로 대칭 암호화 KMS 키에 대한 액세스를 제어할 수 있습니다. 이 조건 키를 사용하여 각 암호화 컨텍스트 페어의 키만 평가하십시오. 암호화 컨텍스트의 키와 값을 평가하려면 이 kms:EncryptionContext:context-key 조건 키를 사용합니다.

비대칭 KMS 키 또는 키 를 사용하여 암호화 작업에서 암호화 컨텍스트를 지정할 수 없습니다HMACKMS. 비대칭 알고리즘과 MAC 알고리즘은 암호화 컨텍스트를 지원하지 않습니다.

이는 다중 값 조건 키입니다. 각 API 요청에서 여러 암호화 컨텍스트 페어를 지정할 수 있습니다. 는 요청의 암호화 컨텍스트 키를 정책의 암호화 컨텍스트 키 집합과 kms:EncryptionContextKeys 비교합니다. 이러한 집합이 비교되는 방법을 확인하려면 정책 조건에서 ForAnyValue 또는 ForAllValues 연산자를 제공해야 합니다. 세트 연산자에 대한 자세한 내용은 IAM 사용 설명서의 여러 키 및 값 사용을 참조하세요.

다음 예제 키 정책 명령문에서 kms:EncryptionContextKeys 조건 키를 ForAnyValue 집합 연산자와 함께 사용합니다. 이 정책 문은 지정된 작업에 KMS 키를 사용하도록 허용하지만, 요청의 암호화 컨텍스트 페어 중 하나 이상에 값에 관계없이 AppName 키가 포함된 경우에만 사용할 수 있습니다.

예를 들어, 이 키 정책문은 첫 번째 암호화 컨텍스트 페어가 조건을 충족하기 때문에 두 개의 암호화 컨텍스트 페어(AppName=Helper 및 Project=Alpha)가 있는 GenerateDataKey 요청을 허용합니다. Project=Alpha만 있거나 암호화 컨텍스트가 없는 요청은 실패합니다.

StringEquals 조건 작업은 대소문자를 구분하므로 이 정책 문에는 암호화 컨텍스트 키의 철자와 대소문자가 필요합니다. 그러나 StringEqualsIgnoreCase과 같은 키 대소문자를 무시하는 조건 연산자를 사용할 수 있습니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": [
    "kms:Encrypt",
    "kms:GenerateDataKey*"
  ],
  "Resource": "*",
  "Condition": {
    "ForAnyValue:StringEquals": {
      "kms:EncryptionContextKeys": "AppName"
    }
  }
}

kms:EncryptionContextKeys 조건 키를 사용하여 키를 사용하는 암호화 작업에서 암호화 컨텍스트(모든 암호화 컨텍스트)를 요구할 수도 있습니다KMS.

다음 예제 키 정책 문은 Null kms:EncryptionContextKeys 조건 연산자와 함께 조건 키를 사용하여 API 요청의 암호화 컨텍스트가 null이 아닌 경우에만 KMS 키에 대한 액세스를 허용합니다. https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_Null 이 조건은 암호화 컨텍스트의 키나 값을 확인하지 않습니다. 암호화 컨텍스트가 존재하는지 확인합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": [
    "kms:Encrypt",
    "kms:GenerateDataKey*"
  ],
  "Resource": "*",
  "Condition": {
    "Null": {
      "kms:EncryptionContextKeys": false
    }
  }
}

다음 사항도 참조하세요.

km:ExpirationModel

kms:ExpirationModel 조건 키는 요청의 ExpirationModel 파라미터 값에 따라 ImportKeyMaterial 작업에 대한 액세스를 제어합니다.

ExpirationModel은 가져온 키 자료가 만료되는지 여부를 결정하는 선택적 파라미터입니다. 유효한 값은 KEY_MATERIAL_EXPIRES 및 KEY_MATERIAL_DOES_NOT_EXPIRE이며, 기본값은 KEY_MATERIAL_EXPIRES입니다.

만료 날짜 및 시간은 ValidTo 파라미터 값에 따라 결정됩니다. ValidTo 파라미터의 값이 ExpirationModel가 아닌 경우에는 KEY_MATERIAL_DOES_NOT_EXPIRE 파라미터가 필요합니다. 또한 kms:ValidTo 조건 키를 사용하여 특정 만료 날짜를 액세스 조건으로 요구할 수도 있습니다.

다음 예제 정책 문은 kms:ExpirationModel 조건 키를 사용하여 요청에 ExpirationModel 파라미터가 포함되어 있고 값이 인 경우에만 사용자가 키 구성 요소를 KMS 키로 가져올 수 있도록 허용합니다KEY_MATERIAL_DOES_NOT_EXPIRE.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:ImportKeyMaterial",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ExpirationModel": "KEY_MATERIAL_DOES_NOT_EXPIRE"
    }
  }
}

또한 kms:ExpirationModel 조건 키를 사용하여 사용자가 키 구성 요소가 만료된 경우에만 키 구성 요소를 가져오도록 할 수 있습니다. 다음다음 예제 키 정책 문은 Null 조건 연산자와 함께 kms:ExpirationModel 조건 키를 사용하여 요청에 ExpirationModel 파라미터가 없는 경우에만 사용자가 키 구성 요소를 가져올 수 있도록 합니다. 의 기본값은 ExpirationModel 입니다KEY_MATERIAL_EXPIRES.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:ImportKeyMaterial",
  "Resource": "*",
  "Condition": {
    "Null": {
      "kms:ExpirationModel": true
    }
  }
}

참고 항목

km:GrantConstraintType

이 조건 키를 사용하여 요청의 권한 부여 제약 조건에 따라 CreateGrant 작업에 대한 액세스를 제어할 수 있습니다.

권한 부여를 생성하면 선택적으로 권한 부여 제약을 지정해 특정 암호화 컨텍스트가 있는 경우에만 권한 부여에 의해 허용된 작업을 허용할 수 있습니다. 권한 부여 제약은 EncryptionContextEquals 또는 EncryptionContextSubset, 두 유형 중 하나일 수 있습니다. 이 조건 키를 사용해 요청 제약에 어떤 유형이 포함되었는지 확인할 수 있습니다.

다음 예제 키 정책 문은 kms:GrantConstraintType 조건 키를 사용해 요청에 EncryptionContextEquals 권한 부여 제약이 포함된 경우에만 사용자가 권한 부여를 생성하도록 허용합니다. 이 예제는 키 정책의 정책 설명을 보여줍니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:CreateGrant",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:GrantConstraintType": "EncryptionContextEquals"
    }
  }
}

참고 항목

km:GrantIsForAWSResource

AWS 와 통합된 서비스가 AWS KMS 사용자를 대신하여 RevokeGrant 작업을 호출하는 경우에만 CreateGrantListGrants, 또는 작업에 대한 권한을 허용하거나 거부합니다. 이 정책 조건은 사용자가 이러한 권한 부여 작업을 직접 호출하도록 허용하지 않습니다.

다음 예제 키 정책 문은 kms:GrantIsForAWSResource 조건 키를 사용합니다. Amazon AWS KMS와 같이 와 통합된 AWS 서비스가 지정된 보안 주체EBS를 대신하여 이 KMS 키에 대한 권한을 생성할 수 있습니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:CreateGrant",
  "Resource": "*",
  "Condition": {
    "Bool": {
      "kms:GrantIsForAWSResource": true
    }
  }
}

참고 항목

km:GrantOperations

이 조건 키를 사용하여 요청의 권한 부여 CreateGrant 작업에 따라 작업에 대한 액세스를 제어할 수 있습니다. 예를 들어, 사용자가 암호화할 권한은 위임하지만 해독할 권한은 위임하지 않는 권한 부여를 생성하도록 허용할 수 있습니다. 권한 부여에 대한 자세한 내용은 권한 부여 사용을 참조하세요.

이는 다중 값 조건 키입니다. kms:GrantOperations는 CreateGrant 요청의 승인 작업 세트를 정책의 승인 작업 세트와 비교합니다. 이러한 집합이 비교되는 방법을 확인하려면 정책 조건에서 ForAnyValue 또는 ForAllValues 연산자를 제공해야 합니다. 세트 연산자에 대한 자세한 내용은 IAM 사용 설명서의 여러 키 및 값 사용을 참조하세요.

다음 예제 키 정책 문은 kms:GrantOperations 조건 키를 사용하여 권한 부여 작업이 Encrypt, ReEncryptTo 또는 둘 다인 경우에만 사용자가 권한 부여를 생성할 수 있도록 합니다. 권한 부여에 다른 작업이 포함된 경우 CreateGrant 요청이 실패합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:CreateGrant",
  "Resource": "*",
  "Condition": {
    "ForAllValues:StringEquals": {
      "kms:GrantOperations": [
        "Encrypt",
        "ReEncryptTo"
      ]
    }
  }
}

정책 조건의 집합 연산자를 ForAnyValue로 변경하면 정책문에서 권한 부여의 권한 부여 작업 중 하나 이상이 Encrypt 또는 ReEncryptTo여야 하지만 Decrypt 또는 ReEncryptFrom과 같은 다른 권한 부여 작업은 허용합니다.

참고 항목

km:GranteePrincipal

이 조건 키를 사용하여 요청의 GranteePrincipal 파라미터 값에 따라 CreateGrant 작업에 대한 액세스를 제어할 수 있습니다. 예를 들어 CreateGrant 요청의 수혜자 보안 주체가 조건문에 지정된 보안 주체와 일치하는 경우에만 KMS 키를 사용하도록 권한 부여를 생성할 수 있습니다.

보안 주체를 지정하려면 보안 주체의 Amazon 리소스 이름(ARN)을 AWS 사용합니다. 유효한 보안 주체에는 AWS 계정, IAM 사용자, IAM 역할, 페더레이션 사용자 및 수임 역할 사용자가 포함됩니다. 보안 주체의 ARN 구문에 대한 도움말은 사용 설명서IAMARNs의 섹션을 참조하세요. IAM

다음 예제 키 정책 문은 kms:GranteePrincipal 조건 키를 에 사용하여 권한 부여의 권한 부여자 보안 주체가 인 경우에만 KMS 키에 대한 권한 부여를 생성합니다LimitedAdminRole.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:CreateGrant",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:GranteePrincipal": "arn:aws:iam::111122223333:role/LimitedAdminRole"
    }
  }
}

참고 항목

km:KeyAgreementAlgorithm

kms:KeyAgreementAlgorithm 조건 키를 사용하여 요청의 KeyAgreementAlgorithm 파라미터 값에 따라 DeriveSharedSecret 작업에 대한 액세스를 제어할 수 있습니다. KeyAgreementAlgorithm의 유일한 유효 값은 ECDH입니다.

예를 들어 다음 키 정책 문은 kms:KeyAgreementAlgorithm 조건 키를 사용하여 이 가 DeriveSharedSecret 아닌 한 에 대한 모든 액세스를 거부KeyAgreementAlgorithm합니다ECDH.

{
       "Effect": "Deny",
       "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
       },
       "Action": "kms:DeriveSharedSecret",
       "Resource": "*",
       "Condition": {
            "StringNotEquals": {
               "kms:KeyAgreementAlgorithm": "ECDH"
         }
       }
}

참고 항목

km:KeyOrigin

kms:KeyOrigin 조건 키는 작업에 의해 생성되거나 사용되는 KMS 키의 Origin 속성 값을 기반으로 작업에 대한 액세스를 제어합니다. 그것은 리소스 조건 또는 요청 조건으로 작동합니다.

이 조건 키를 사용하여 요청의 오리진 파라미터 값에 따라 CreateKey 작업에 대한 액세스를 제어할 수 있습니다. Origin의 유효한 값은 AWS_KMS, AWS_CLOUDHSM 및 EXTERNAL입니다.

예를 들어 키 구성 요소가 AWS KMS (AWS_KMS)에서 생성되거나, 사용자 지정 KMS 키 스토어()와 연결된 AWS CloudHSM 클러스터에서 키 구성 요소가 생성되거나, 외부 소스(AWS_CLOUDHSM)에서 키 구성 요소를 가져오는 경우에만 키를 생성할 수 있습니다EXTERNAL. AWS KMS 사용자 지정 키 스토어

다음 예제 키 정책 문은 kms:KeyOrigin 조건 키를 사용하여 가 KMS 키 구성 요소를 생성할 때만 키를 AWS KMS 생성합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": "kms:CreateKey",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:KeyOrigin": "AWS_KMS"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:GenerateDataKeyPair",
        "kms:GenerateDataKeyPairWithoutPlaintext",
        "kms:ReEncrypt*"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/*",
      "Condition": {
        "StringEquals": {
          "kms:KeyOrigin": "AWS_CLOUDHSM"
        }
      }
    }
  ]
}

kms:KeyOrigin 조건 키를 사용하여 작업에 KMS 사용된 키의 Origin 속성을 기반으로 KMS 키를 사용하거나 관리하는 작업에 대한 액세스를 제어할 수도 있습니다. 작업은 KMS 키 리소스 작업, 즉 특정 KMS 키에 대해 승인된 작업이어야 합니다. KMS 주요 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key의 값을 찾습니다.

예를 들어, 다음 IAM 정책은 보안 주체가 지정된 KMS 키 리소스 작업을 수행할 수 있도록 허용하지만, 사용자 지정 KMS 키 스토어에서 생성된 계정의 키만 허용합니다.

{
  "Effect": "Allow",  
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKeyPair",
    "kms:GenerateDataKeyPairWithoutPlaintext",
    "kms:ReEncrypt*"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:key/*",
  "Condition": {
    "StringEquals": {
      "kms:KeyOrigin": "AWS_CLOUDHSM"
    }
  }
}

참고 항목

km:KeySpec

kms:KeySpec 조건 키는 작업에 의해 생성되거나 사용되는 KMS 키의 KeySpec 속성 값을 기반으로 작업에 대한 액세스를 제어합니다.

IAM 정책에서 이 조건 키를 사용하여 CreateKey 요청의 KeySpec 파라미터 값에 따라 CreateKey 작업에 대한 액세스를 제어할 수 있습니다. 예를 들어 이 조건을 사용하여 사용자가 대칭 암호화 KMS 키만 생성하거나 HMAC KMS 키만 생성하도록 허용할 수 있습니다.

다음 예제 IAM 정책 문은 kms:KeySpec 조건 키를 사용하여 보안 주체가 RSA 비대칭 KMS 키만 생성할 수 있도록 허용합니다. 이 권한은 요청의 KeySpec이 RSA_로 시작하는 경우에만 유효합니다.

{
  "Effect": "Allow",
  "Action": "kms:CreateKey",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:KeySpec": "RSA_*"
    }
  }
}

kms:KeySpec 조건 키를 사용하여 작업에 KMS 사용된 키의 KeySpec 속성을 기반으로 KMS 키를 사용하거나 관리하는 작업에 대한 액세스를 제어할 수도 있습니다. 작업은 KMS 키 리소스 작업, 즉 특정 KMS 키에 대해 승인된 작업이어야 합니다. KMS 주요 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key에서 의 값을 찾습니다.

예를 들어 다음 IAM 정책은 보안 주체가 계정에 대칭 암호화 KMS 키만 사용하여 지정된 KMS 키 리소스 작업을 수행하도록 허용합니다.

{
  "Effect": "Allow",
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:key/*",
  "Condition": {
    "StringEquals": {
      "kms:KeySpec": "SYMMETRIC_DEFAULT"
    }
  }
}

참고 항목

km:KeyUsage

kms:KeyUsage 조건 키는 작업에 의해 생성되거나 사용되는 KMS 키의 KeyUsage 속성 값을 기반으로 작업에 대한 액세스를 제어합니다.

이 조건 키를 사용하여 요청의 KeyUsage 파라미터 값에 따라 CreateKey 작업에 대한 액세스를 제어할 수 있습니다. KeyUsage의 유효한 값은 ENCRYPT_DECRYPT, SIGN_VERIFY, GENERATE_VERIFY_MAC 및 KEY_AGREEMENT입니다.

예를 들어 가 인 경우에만 KMS 키를 생성ENCRYPT_DECRYPT하거나 KeyUsage가 인 경우에만 사용자 권한을 거부할 수 KeyUsage 있습니다SIGN_VERIFY.

다음 예제 IAM 정책 문은 kms:KeyUsage 조건 키를 사용하여 KeyUsage 이 인 경우에만 KMS 키를 생성합니다ENCRYPT_DECRYPT.

{
  "Effect": "Allow",  
  "Action": "kms:CreateKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:KeyUsage": "ENCRYPT_DECRYPT"
    }
  }
}

kms:KeyUsage 조건 키를 사용하여 작업에서 키의 KeyUsage 속성을 기반으로 KMS 키를 사용하거나 관리하는 작업에 대한 액세스를 제어할 수도 KMS 있습니다. 작업은 KMS 키 리소스 작업 , 즉 특정 KMS 키에 대해 승인된 작업이어야 합니다. KMS 키 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key의 값을 찾습니다.

예를 들어 다음 IAM 정책은 보안 주체가 지정된 KMS 키 리소스 작업을 수행할 수 있도록 허용하지만 서명 및 확인에 사용되는 계정의 KMS 키만 허용합니다.

{
  "Effect": "Allow",
  "Action": [
    "kms:CreateGrant",
    "kms:DescribeKey",
    "kms:GetPublicKey",
    "kms:ScheduleKeyDeletion"
  ],
  "Resource": "arn:aws:kms:us-west-2:111122223333:key/*",
  "Condition": {
    "StringEquals": {
      "kms:KeyUsage": "SIGN_VERIFY"
    }
  }
}

참고 항목

km:MacAlgorithm

kms:MacAlgorithm 조건 키를 사용하여 요청의 MacAlgorithm 파라미터 값에 따라 GenerateMac 및 VerifyMac 작업에 대한 액세스를 제어할 수 있습니다.

다음 예제 키 정책은 testers 역할을 수임할 수 있는 사용자가 요청의 MAC 알고리즘이 HMAC_SHA_384 또는 인 경우에만 HMAC KMS 키를 사용하여 HMAC 태그를 생성하고 확인할 수 있도록 허용합니다HMAC_SHA_512. 이 정책은 각각 고유한 조건을 가진 두 개의 별도의 정책 문을 사용합니다. 단일 조건문에서 둘 이상의 MAC 알고리즘을 지정하는 경우 조건에는 둘 중 하나 대신 두 알고리즘이 모두 필요합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/testers"
      },
      "Action": [
        "kms:GenerateMac",
        "kms:VerifyMac"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:MacAlgorithm": "HMAC_SHA_384"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/testers"
      },
      "Action": [
        "kms:GenerateMac",
        "kms:VerifyMac"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:MacAlgorithm": "HMAC_SHA_512"
        }
      }
    }
  ]
}

참고 항목

km:MessageType

kms:MessageType 조건 키는 요청의 MessageType 파라미터 값을 기반으로 서명 및 확인 작업에 대한 액세스를 제어합니다. MessageType 유효값은 RAW 및 DIGEST입니다.

예를 들어 다음 키 정책 문은 kms:MessageType 조건 키를 사용하여 비대칭 KMS 키를 사용하여 메시지에 서명하지만 메시지 다이제스트는 사용하지 않습니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:Sign",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:MessageType": "RAW"
    }
  }
}

참고 항목

km:MultiRegion

이 조건 키를 사용하여 단일 리전 키 또는 다중 리전 키에서만 작업을 허용할 수 있습니다. kms:MultiRegion 조건 키는 키의 MultiRegion 속성 값에 따라 KMS 키에 대한 AWS KMS 작업 및 CreateKey 작업에 대한 액세스를 제어합니다KMS. 유효 값은 true(다중 리전) 및 false(단일 리전)입니다. 모든 KMS 키에는 MultiRegion 속성이 있습니다.

예를 들어 다음 IAM 정책 문은 kms:MultiRegion 조건 키를 사용하여 보안 주체가 단일 리전 키만 생성할 수 있도록 허용합니다.

{
  "Effect": "Allow",
  "Action": "kms:CreateKey",
  "Resource": "*",
  "Condition": {
    "Bool": {
      "kms:MultiRegion": false
    }
  }
}

km:MultiRegionKeyType

이 조건 키를 사용하여 다중 리전 기본 키 또는 다중 리전 복제본 키에서만 작업을 허용할 수 있습니다. kms:MultiRegionKeyType 조건 키는 키MultiRegionKeyType의 AWS KMS 속성에 따라 KMS 키 및 CreateKey 작업에 대한 액세스를 제어합니다KMS. 유효 값은 PRIMARY와 REPLICA입니다. 다중 리전 키에만 MultiRegionKeyType 속성이 있습니다.

일반적으로 IAM 정책에서 kms:MultiRegionKeyType 조건 키를 사용하여 여러 KMS 키에 대한 액세스를 제어합니다. 그러나 지정된 다중 리전 키가 기본 또는 복제본으로 변경될 수 있으므로 특정 다중 리전 키가 기본 또는 복제본 키인 경우에만 작업을 허용하려면 키 정책에서 이 조건을 사용할 수 있습니다.

예를 들어 다음 IAM 정책 문은 kms:MultiRegionKeyType 조건 키를 사용하여 보안 주체가 지정된 의 다중 리전 복제본 키에서만 키 삭제를 예약하고 취소할 수 있도록 허용합니다 AWS 계정.

{
  "Effect": "Allow",
  "Action": [
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": "arn:aws:kms:*:111122223333:key/*",
  "Condition": {
    "StringEquals": {
      "kms:MultiRegionKeyType": "REPLICA"
    }
  }
}

모든 다중 지역 키에 대한 액세스를 허용하거나 거부하려면 kms:MultiRegionKeyType와 함께 두 값 또는 null 값을 모두 사용할 수 있습니다. 하지만 kms:MultiRegion 조건 키는 해당 용도로 권장됩니다.

km:PrimaryRegion

이 조건 키를 사용하여 UpdatePrimaryRegion 작업의 대상 리전을 제한할 수 있습니다. 이는 다중 리전 기본 키를 호스팅할 수 AWS 리전 있는 입니다.

kms:PrimaryRegion 조건 키는 PrimaryRegion 파라미터 값에 따라 UpdatePrimaryRegion 작업에 대한 액세스를 제어합니다. PrimaryRegion 파라미터는 기본으로 승격되는 다중 리전 복제본 키 AWS 리전 의 를 지정합니다. 조건의 값은 또는 와 같은 하나 이상의 AWS 리전 이름 또는 us-east-1 ap-southeast-2와 같은 리전 이름 패턴입니다. eu-*

예를 들어 다음 키 정책 문은 kms:PrimaryRegion 조건 키를 사용하여 보안 주체가 다중 리전 키의 기본 리전을 지정된 4개의 리전 중 하나로 업데이트할 수 있습니다.

{
  "Effect": "Allow",
  "Action": "kms:UpdatePrimaryRegion",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Developer"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:PrimaryRegion": [ 
         "us-east-1",
         "us-west-2",
         "eu-west-3",
         "ap-southeast-2"
      ]
    }
  }
}

km:ReEncryptOnSameKey

이 조건 키를 사용하여 요청이 원래 암호화에 사용된 것과 동일한 대상 KMS 키를 지정하는지 여부에 따라 ReEncrypt 작업에 대한 액세스를 제어할 수 있습니다.

예를 들어 다음 키 정책 문은 kms:ReEncryptOnSameKey 조건 키를 사용하여 대상 키가 원래 암호화에 사용된 KMS 것과 동일한 경우에만 를 다시 암호화합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:ReEncrypt*",
  "Resource": "*",
  "Condition": {
    "Bool": {
      "kms:ReEncryptOnSameKey": true
    }
  }
}

km:RequestAlias

이 조건 키를 사용하면 요청이 특정 별칭을 사용하여 KMS 키를 식별하는 경우에만 작업을 허용할 수 있습니다. kms:RequestAlias 조건 키는 요청에서 KMS 해당 키를 식별하는 별칭을 DescribeKey 기반으로 암호화 작업GetPublicKey, 또는 에 사용되는 KMS 키에 대한 액세스를 제어합니다. (이 정책 조건은 GenerateRandom 작업이 KMS 키 또는 별칭을 사용하지 않으므로 작업에 영향을 주지 않습니다.)

이 조건은 에서 속성 기반 액세스 제어(ABAC)를 지원 AWS KMS하므로 KMS 키의 태그 및 별칭을 기반으로 KMS 키에 대한 액세스를 제어할 수 있습니다. 태그와 별칭을 사용하여 정책이나 권한 부여를 변경하지 않고도 KMS 키에 대한 액세스를 허용하거나 거부할 수 있습니다. 세부 정보는 AWS KMS의 ABAC을 참조하세요.

이 정책 조건에서 별칭을 지정하려면 별칭 이름(예: alias/project-alpha) 또는 별칭 이름 패턴(예: alias/*test*)을 사용합니다. 이 조건 키의 값에 별칭ARN을 지정할 수 없습니다.

이 조건을 충족하려면 요청의 KeyId 파라미터 값이 일치하는 별칭 이름 또는 별칭이어야 합니다ARN. 요청이 다른 키 식별자 를 사용하는 경우 가 동일한 KMS 키를 식별하더라도 조건을 충족하지 않습니다.

예를 들어 다음 키 정책 문을 사용하면 보안 주체가 KMS 키에 대한 GenerateDataKey 작업을 호출할 수 있습니다. 그러나 이는 요청의 KeyId 파라미터 값이 alias/finance-key 또는 와 같은 해당 별칭 이름이 ARN 있는 별칭인 경우에만 허용됩니다arn:aws:kms:us-west-2:111122223333:alias/finance-key.

{
  "Sid": "Key policy using a request alias condition",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/developer"
  },
  "Action": "kms:GenerateDataKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:RequestAlias": "alias/finance-key"
    }
  }
}

이 조건 키를 사용하여 CreateAlias 또는 와 같은 별칭 작업에 대한 액세스를 제어할 수 없습니다DeleteAlias. 별칭 작업에 대한 액세스 제어와 관련된 자세한 내용은 별칭에 대한 액세스 제어 섹션을 참조하세요.

km:ResourceAliases

이 조건 키를 사용하여 KMS 키와 연결된 별칭을 기반으로 KMS 키에 대한 액세스를 제어합니다. 작업은 KMS 키 리소스 작업, 즉 특정 KMS 키에 대해 승인된 작업이어야 합니다. KMS 주요 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key의 값을 찾습니다.

이 조건은 에서 속성 기반 액세스 제어(ABAC)를 지원합니다 AWS KMS. 를 사용하면 KMS 키에 할당된 태그와 KMS 키와 연결된 별칭을 기반으로 KMS 키에 대한 액세스를 제어할 ABAC수 있습니다. 태그와 별칭을 사용하여 정책이나 권한 부여를 변경하지 않고도 KMS 키에 대한 액세스를 허용하거나 거부할 수 있습니다. 세부 정보는 AWS KMS의 ABAC을 참조하세요.

별칭은 AWS 계정 및 리전에서 고유해야 하지만, 이 조건을 사용하면 동일한 리전의 여러 KMS 키(StringLike비교 연산자 사용) 또는 각 계정 AWS 리전 마다 다른 여러 KMS 키에 대한 액세스를 제어할 수 있습니다.

이 정책 조건에서 별칭을 지정하려면 별칭 이름(예: alias/project-alpha) 또는 별칭 이름 패턴(예: alias/*test*)을 사용합니다. 이 조건 키의 값에 별칭ARN을 지정할 수 없습니다. 조건을 충족하려면 작업에 사용되는 KMS 키에 지정된 별칭이 있어야 합니다. 작업 요청에서 KMS 키가 식별되는지 또는 식별되는 방법은 중요하지 않습니다.

키와 연결된 별칭 세트를 정책의 별칭 집합과 비교하는 다중 값 조건 KMS 키입니다. 이러한 집합이 비교되는 방법을 확인하려면 정책 조건에서 ForAnyValue 또는 ForAllValues 연산자를 제공해야 합니다. 세트 연산자에 대한 자세한 내용은 IAM 사용 설명서의 여러 키 및 값 사용을 참조하세요.

예를 들어 다음 IAM 정책 문을 사용하면 보안 주체 AWS 계정 가 finance-key별칭과 연결된 지정된 의 모든 KMS 키에 대해 GenerateDataKey 작업을 호출할 수 있습니다. (영향을 받는 키의 KMS 키 정책은 보안 주체의 계정도 이 작업에 사용할 수 있도록 허용해야 합니다.) KMS 키와 연결될 수 있는 여러 별칭 중 하나가 인 경우 조건이 충족됨을 나타내기 위해 alias/finance-key조건은 ForAnyValue 설정 연산자를 사용합니다.

kms:ResourceAliases 조건은 요청이 아닌 리소스를 기반으로 하기 때문에 요청이 키 ID 또는 KMS 키를 사용하여 키를 ARN 식별하더라도 finance-key별칭과 연결된 키에 대한 호출이 GenerateDataKey 성공합니다KMS.

{
  "Sid": "AliasBasedIAMPolicy",
  "Effect": "Allow",
  "Action": "kms:GenerateDataKey",
  "Resource": [
    "arn:aws:kms:*:111122223333:key/*",
    "arn:aws:kms:*:444455556666:key/*"
  ],
  "Condition": {
    "ForAnyValue:StringEquals": {
      "kms:ResourceAliases": "alias/finance-key"
    }
  }
}

다음 예제 IAM 정책 문은 보안 주체가 KMS 키를 활성화 및 비활성화할 수 있도록 허용하지만 KMS 키의 모든 별칭에 '.'가 포함된 경우에만 가능합니다Test. 이 정책 문은 두 가지 조건을 사용합니다. ForAllValues 설정 연산자가 있는 조건에서는 KMS 키와 연결된 모든 별칭에 '테스트'가 포함되어야 합니다. ForAnyValue 설정 연산자가 있는 조건에서는 KMS 키에 “테스트”가 있는 별칭이 하나 이상 있어야 합니다. ForAnyValue 조건 없이 이 정책 문은 보안 주체가 별칭이 없는 KMS 키를 사용하도록 허용했을 것입니다.

{
  "Sid": "AliasBasedIAMPolicy",
  "Effect": "Allow",
  "Action": [
    "kms:EnableKey",
    "kms:DisableKey"
  ],
  "Resource": "arn:aws:kms:*:111122223333:key/*",
  "Condition": {
    "ForAllValues:StringLike": {
      "kms:ResourceAliases": [
        "alias/*Test*"
      ]
    },
    "ForAnyValue:StringLike": {
      "kms:ResourceAliases": [
        "alias/*Test*"
      ]
    }
  }
}

km:ReplicaRegion

이 조건 키를 사용하여 보안 주체 AWS 리전 가 다중 리전 키 를 복제할 수 있는 를 제한할 수 있습니다. kms:ReplicaRegion 조건 키는 요청의 ReplicaRegion 파라미터 값에 따라 ReplicateKey 작업에 대한 액세스를 제어합니다. 이 파라미터는 새 복제본 키에 대한 AWS 리전 을 지정합니다.

조건의 값은 또는 와 같은 하나 이상의 AWS 리전 이름 ap-southeast-2또는 us-east-1 와 같은 이름 패턴입니다eu-*. 가 AWS 리전 AWS KMS 지원하는 이름 목록은 의 AWS Key Management Service 엔드포인트 및 할당량을 참조하세요 AWS 일반 참조.

예를 들어 다음 키 정책 문은 kms:ReplicaRegion 조건 키를 사용하여 ReplicaRegion 파라미터 값이 지정된 리전 중 하나인 경우에만 보안 주체가 ReplicateKey 작업을 호출할 수 있도록 허용합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:ReplicateKey"
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ReplicaRegion": [ 
         "us-east-1",
         "eu-west-3",
         "ap-southeast-2"
      ]
    }
  }
}

이 조건 키는 ReplicateKey 작업에 대한 액세스만 제어합니다. UpdatePrimaryRegion 작업에 대한 액세스를 제어하려면 kms:PrimaryRegion 조건 키를 사용합니다.

km:RetiringPrincipal

이 조건 키를 사용하여 요청의 RetiringPrincipal 파라미터 값에 따라 CreateGrant 작업에 대한 액세스를 제어할 수 있습니다. 예를 들어 CreateGrant 요청RetiringPrincipal의 이 조건문의 와 일치하는 경우에만 KMS 키를 사용하도록 권한을 생성할 수 RetiringPrincipal 있습니다.

사용 중지 보안 주체를 지정하려면 보안 주체의 Amazon 리소스 이름(ARN)을 AWS 사용합니다. 유효한 보안 주체에는 AWS 계정, IAM 사용자, IAM 역할, 페더레이션 사용자 및 수임 역할 사용자가 포함됩니다. 보안 주체의 ARN 구문에 대한 도움말은 사용 설명서IAMARNs의 섹션을 참조하세요. IAM

다음 예제 키 정책 문을 사용하면 사용자가 KMS 키에 대한 권한을 생성할 수 있습니다. kms:RetiringPrincipal 조건 키는 권한을 CreateGrant 요청으로 제한하며, 사용 중지 위탁자는 LimitedAdminRole입니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:CreateGrant",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:RetiringPrincipal": "arn:aws:iam::111122223333:role/LimitedAdminRole"
    }
  }
}

참고 항목

km:RotationPeriodInDays

이 조건 키를 사용하여 보안 주체가 EnableKeyRotation 요청의 RotationPeriodInDays 파라미터에 지정할 수 있는 값을 제한할 수 있습니다.

는 각 자동 키 교체 날짜 사이의 일수를 RotationPeriodInDays 지정합니다. 를 AWS KMS 사용하면 90~2,560일의 교체 기간을 지정할 수 있지만 kms:RotationPeriodInDays 조건 키를 사용하여 유효한 범위 내에서 최소 교체 기간을 적용하는 등 교체 기간을 추가로 제한할 수 있습니다.

예를 들어 다음 키 정책 문은 kms:RotationPeriodInDays 조건 키를 사용하여 키 교체 기간이 180일 이하인 경우에는 위탁자가 키 교체를 활성화하지 못하도록 합니다.

{
  "Effect": "Deny",
  "Action": "kms:EnableKeyRotation",
  "Principal": "*",
  "Resource": "*",
  "Condition" : {
      "NumericLessThanEquals" : {
        "kms:RotationPeriodInDays" : "180"
      }
  }
}

km:ScheduleKeyDeletionPendingWindowInDays

이 조건 키를 사용하여 보안 주체가 ScheduleKeyDeletion 요청의 PendingWindowInDays 파라미터에 지정할 수 있는 값을 제한할 수 있습니다.

AWS KMS 는 키를 삭제하기 전에 대기할 일수를 PendingWindowInDays 지정합니다. 를 AWS KMS 사용하면 7~30일의 대기 기간을 지정할 수 있지만 조건 kms:ScheduleKeyDeletionPendingWindowInDays 키를 사용하여 유효한 범위 내에서 최소 대기 기간을 적용하는 등 대기 기간을 추가로 제한할 수 있습니다.

예를 들어 다음 키 정책 문은 kms:ScheduleKeyDeletionPendingWindowInDays 조건 키를 사용하여 대기 기간이 21일 이하인 경우 보안 주체가 키 삭제 일정을 잡을 수 없도록 합니다.

{
  "Effect": "Deny",
  "Action": "kms:ScheduleKeyDeletion",
  "Principal": "*",
  "Resource": "*",
  "Condition" : {
      "NumericLessThanEquals" : {
        "kms:ScheduleKeyDeletionPendingWindowInDays" : "21"
      }
  }
}

km:SigningAlgorithm

kms:SigningAlgorithm 조건 키를 사용하여 요청의 SigningAlgorithm 파라미터 값에 따라 서명 및 확인 작업에 대한 액세스를 제어할 수 있습니다. 이 조건 키는 외부의 비대칭 키 KMS 페어에서 퍼블릭 키를 사용하여 서명을 확인하는 AWS KMS등 외부에서 수행되는 작업에 영향을 주지 않습니다 AWS KMS.

다음 예제 키 정책은 testers 역할을 수임하는 사용자가 요청에 사용되는 서명 알고리즘이 와 같은 RSASSA_PSS 알고리즘인 경우에만 KMS 키를 사용하여 메시지에 서명할 수 있도록 허용합니다RSASSA_PSS_SHA512.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/testers"
  },
  "Action": "kms:Sign",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:SigningAlgorithm": "RSASSA_PSS*"
    }
  }
}

참고 항목

km:ValidTo

kms:ValidTo 조건 키는 가져온 키 구성 요소가 만료되는 시기를 결정하는 요청의 ValidTo 파라미터 값을 기반으로 ImportKeyMaterial 작업에 대한 액세스를 제어합니다. 이 값은 Unix 시간으로 표현됩니다.

기본적으로 ValidTo 파라미터는 ImportKeyMaterial 요청에서 필요합니다. 그러나 ExpirationModel 파라미터 값이 이면 KEY_MATERIAL_DOES_NOT_EXPIRE ValidTo 파라미터가 유효하지 않습니다. kms:ExpirationModel 조건 키를 사용하여 ExpirationModel 파라미터 또는 특정 파라미터 값을 요구할 수도 있습니다.

다음 정책 설명 예제에서는 사용자가 키 구성 요소를 KMS 키로 가져올 수 있습니다. kms:ValidTo 조건 키는 ValidTo 값이 1546257599.0 (2018년 12월 31일 11:59:59 PM)보다 작거나 같은 ImportKeyMaterial 요청에 대한 권한을 제한합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:ImportKeyMaterial",
  "Resource": "*",
  "Condition": {
    "NumericLessThanEquals": {
      "kms:ValidTo": "1546257599.0"
    }
  }
}

참고 항목

km:ViaService

kms:ViaService 조건 키는 KMS 키 사용을 지정된 AWS 서비스의 요청으로 제한합니다. 각 kms:ViaService 조건 키에 하나 이상의 서비스를 지정할 수 있습니다. 작업은 KMS 키 리소스 작업, 즉 특정 KMS 키에 대해 승인된 작업이어야 합니다. KMS 주요 리소스 작업을 식별하려면 작업 및 리소스 테이블에서 작업 Resources 열KMS key의 값을 찾습니다.

예를 들어, 다음 키 정책 문은 kms:ViaService 조건 키를 사용하여 를 대신하여 미국 서부(오레곤) 리전RDS의 Amazon EC2 또는 Amazon에서 요청이 오는 경우에만 고객 관리형 키를 지정된 작업에 사용할 수 있도록 허용합니다ExampleRole.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": [
        "ec2.us-west-2.amazonaws.com",
        "rds.us-west-2.amazonaws.com"
      ]
    }
  }
}

또한 kms:ViaService 조건 키를 사용하여 특정 서비스에서 요청이 올 때 KMS 키를 사용할 수 있는 권한을 거부할 수 있습니다. 예를 들어 키 정책에서 다음 정책 문은 kms:ViaService 조건 키를 사용하여 요청이 AWS Lambda 에서 ExampleRole 대신 이루어지는 경우 고객 관리형 키를 Encrypt 작업에 대해 사용하는 것을 금지합니다.

{
  "Effect": "Deny",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": [
    "kms:Encrypt"    
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": [
          "lambda.us-west-2.amazonaws.com"
      ]
    }
  }
}

모든 AWS 관리형 키는 키 정책 문서에서 kms:ViaService 조건 키를 사용합니다. 이 조건을 사용하면 KMS 키를 생성한 서비스에서 오는 요청에만 KMS 키를 사용할 수 있습니다. 의 키 정책을 보려면 GetKeyPolicy 작업을 AWS 관리형 키사용합니다.

kms:ViaService 조건 키는 IAM 및 키 정책 문에서 유효합니다. 사용자가 지정한 서비스가 AWS KMS와 통합되고 kms:ViaService 조건 키를 지원해야 합니다.

kms:ViaService 조건 키를 지원하는 서비스

다음 표에는 AWS KMS 와 통합되고 고객 관리형 키에서 kms:ViaService 조건 키 사용을 지원하는 AWS 서비스가 나열되어 있습니다. 이 표의 서비스는 일부 리전에서 제공되지 않을 수 있습니다. 모든 AWS 파티션에서 AWS KMS ViaService 이름의 .amazonaws.com 접미사를 사용합니다.

km:WrappingAlgorithm

이 조건 키는 요청의 WrappingAlgorithm 파라미터 값에 따라 GetParametersForImport 작업에 대한 액세스를 제어합니다. 이 조건을 사용하여 보안 주체가 가져오기 프로세스 중에 특정 알고리즘을 사용하여 키 자료를 암호화하도록 요구할 수 있습니다. 다른 래핑 알고리즘을 지정하면 필수 퍼블릭 키 및 가져오기 토큰에 대한 요청이 실패합니다.

다음 예제 키 정책문에서는 kms:WrappingAlgorithm 조건 키를 사용하여 GetParametersForImport 작업을 호출할 수 있는 사용자 권한을 부여하지만, RSAES_OAEP_SHA_1 래핑 알고리즘을 사용하지 못하도록 합니다. GetParametersForImport 요청의 WrappingAlgorithm이 RSAES_OAEP_SHA_1이면 작업이 실패합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:GetParametersForImport",
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "kms:WrappingAlgorithm": "RSAES_OAEP_SHA_1"
    }
  }
}

참고 항목

km:WrappingKeySpec

이 조건 키는 요청의 WrappingKeySpec 파라미터 값에 따라 GetParametersForImport 작업에 대한 액세스를 제어합니다. 가져 오기 프로세스 중에 공개 키의 특정 유형을 사용하는 사용자를 요구하는 이 조건을 사용할 수 있습니다. 요청에서 다른 키 유형을 지정하면 실패합니다.

WrappingKeySpec 파라미터 값에 사용할 수 있는 값은 RSA_2048뿐이므로 실제로 사용자에게 이 값을 실제로 사용하지 못하도록 할 경우 사용자가 GetParametersForImport 작업을 사용할 수 없게 됩니다.

다음 예제 정책 설명은 kms:WrappingAlgorithm 조건 키를 사용하여 요청의 WrappingKeySpec이 RSA_4096이 되도록 요구합니다.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
  },
  "Action": "kms:GetParametersForImport",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:WrappingKeySpec": "RSA_4096"
    }
  }
}

참고 항목