기본 키 정책

를 사용하여 프로그래밍 방식으로 KMS 키를 생성하고AWS KMS API(AWS SDKs, AWS Command Line Interface 또는 사용 포함AWS Tools for PowerShell) 키 정책을 지정하지 않으면는 매우 간단한 기본 키 정책을 AWS KMS 적용합니다. 이 기본 키 정책에는 키를 소유한에 KMS 정책을 사용하여 키의 모든 AWS KMS 작업에 액세스할 수 AWS 계정 있는 권한을 부여하는 IAM 정책 문이 하나 있습니다KMS. 이 정책 설명에 대한 자세한 내용은 에 대한 액세스 허용 AWS 계정 및 IAM 정책 활성화 섹션을 참조하세요.

로 KMS 키를 생성 AWS Management Console하면 키 정책은에 대한 액세스를 허용 AWS 계정 하고 IAM 정책을 활성화하는 정책 설명으로 시작됩니다. 그런 다음 콘솔은 키 관리자 문, 키 사용자 문 및 (대부분의 키 유형에 대해) 보안 주체가 다른 AWS 서비스와 함께 KMS 키를 사용할 수 있도록 허용하는 문을 추가합니다. AWS KMS 콘솔의 기능을 사용하여 IAM 사용자, 및를 키 관리자IAMroles AWS 계정 로 지정하고를 키 사용자(또는 둘 다)로 지정할 수 있습니다.

위에 표시된 키 정책 문은 키를 소유 AWS 계정 한에 키에 대한 모든 작업(kms:*)을 허용하는 IAM 키 정책 및 키 정책을 사용할 수 있는 권한을 부여합니다KMS.

이 키 정책 설명의 보안 주체는 계정 보안 주체이며,이 보안 주체는 형식으로 ARN로 표시됩니다arn:aws:iam::account-id:root. 계정 보안 주체는 AWS 계정과 해당 관리자를 나타냅니다.

키 정책 설명의 보안 주체가 계정 보안 주체인 경우 정책 설명에서는 IAM 보안 주체에게 KMS 키를 사용할 수 있는 권한을 부여하지 않습니다. 대신 계정을 통해 IAM 정책을 사용하여 정책 설명에 지정된 권한을 위임할 수 있습니다. 이 기본 키 정책 문을 통해 계정은 IAM 정책을 사용하여 KMS 키의 모든 작업(kms:*)에 대한 권한을 위임할 수 있습니다.

다른 AWS 리소스 정책과 달리 AWS KMS 키 정책은 계정 또는 해당 보안 주체에게 권한을 자동으로 부여하지 않습니다. 계정 보안 주체를 포함한 모든 보안 주체에게 권한을 부여하려면 권한을 명시적으로 제공하는 키 정책 문을 사용해야 합니다. 계정 보안 주체 또는 보안 주체에게 KMS 키에 대한 액세스 권한을 부여할 필요는 없습니다. 그러나 계정 보안 주체에게 액세스 권한을 부여하면 키를 관리할 수 없게 되는 문제를 방지할 수 있습니다.

예를 들어 키에 대한 액세스 권한을 한 명만 부여하는 KMS 키 정책을 생성한다고 가정해 보겠습니다. 그런 다음 해당 사용자를 삭제하면 키를 관리할 수 없게 되며 KMS 키에 대한 액세스 권한을 다시 얻으려면 Support에 문의 AWS해야 합니다.

위에 표시된 키 정책 문은 계정 루트 사용자를 포함하여 및 해당 관리자를 나타내는 계정 보안 주체에 키를 제어할 수 있는 권한을 부여합니다. AWS 계정 https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html 계정 루트 사용자는를 삭제하지 않는 한 삭제할 수 없는 유일한 보안 주체입니다 AWS 계정. IAM 모범 사례에서는 긴급 상황을 제외하고 계정 루트 사용자를 대신하여 작업을 수행하지 않는 것이 좋습니다. 그러나 KMS 키에 액세스할 수 있는 다른 모든 사용자와 역할을 삭제하는 경우 계정 루트 사용자 역할을 수행해야 할 수 있습니다.

kms:CreateAlias 및 kms:CreateGrant를 허용합니다. (kms:CreateKey권한은 IAM 정책에서만 유효합니다.)

kms:DescribeKey를 허용합니다. 에서 키의 키 세부 정보 페이지를 보려면 kms:DescribeKey 권한이 필요합니다KMS AWS Management Console.

kms:EnableKey를 허용합니다. 대칭 암호화 KMS 키의 경우 도 허용합니다kms:EnableKeyRotation.

kms:ListGrants, kms:ListKeyPolicies 및 kms:ListResourceTags를 허용합니다. (에서 KMS 키를 보는 데 필요한 kms:ListAliases 및 kms:ListKeys 권한 AWS Management Console은 IAM 정책에서만 유효합니다.)

kms:PutKeyPolicy를 허용합니다. 이 권한을 통해 키 관리자는이 키의 KMS 키 정책을 변경할 수 있습니다.

kms:UpdateAlias 및 kms:UpdateKeyDescription를 허용합니다. 다중 리전 키의 경우이 KMS 키kms:UpdatePrimaryRegion에서를 허용합니다.

키 관리자가 권한 부여에서 사용 중지되는 보안 주체가 아니어도 권한 부여를 삭제할 수 있도록 kms:RevokeGrant를 허용합니다.

kms:DisableKey를 허용합니다. 대칭 암호화 KMS 키의 경우 도 허용합니다kms:DisableKeyRotation.

kms:GetKeyPolicy 및 kms:GetKeyRotationStatus를 허용합니다. 가져온 KMS 키 구성 요소가 있는 키의 경우를 허용합니다kms:GetParametersForImport. 비대칭 KMS 키의 경우를 허용합니다kms:GetPublicKey. 에서 키의 KMS 키 정책을 보려면 kms:GetKeyPolicy 권한이 필요합니다 AWS Management Console.

kms:DeleteAlias를 허용합니다. 가져온 키 구성 요소가 있는 키의 경우 kms:DeleteImportedKeyMaterial을 허용합니다. kms:Delete* 권한은 키 관리자가 KMS 키()를 삭제하도록 허용하지 않습니다ScheduleKeyDeletion.

키 관리자가 KMS 키에 태그를 추가할 수 kms:TagResource있는를 허용합니다. 태그는 KMS 키에 대한 액세스를 제어하는 데에도 사용할 수 있으므로이 권한은 관리자가 KMS 키에 대한 액세스를 허용하거나 거부할 수 있도록 허용할 수 있습니다. 세부 정보는 AWS KMS의 ABAC을 참조하세요.

키 관리자가 KMS 키에서 태그를 삭제할 수 kms:UntagResource있는를 허용합니다. 태그를 사용하여 키에 대한 액세스를 제어할 수 있으므로이 권한은 관리자가 KMS 키에 대한 액세스를 허용하거나 거부할 수 있도록 허용할 수 있습니다. 세부 정보는 AWS KMS의 ABAC을 참조하세요.

키 관리자가 이 KMS 키를 삭제할 수 kms:ScheduleKeyDeletion있는를 허용합니다. 이 권한을 삭제하려면 키 관리자가 이 키를 삭제하도록 허용(Allow key administrators to delete this key) 옵션을 삭제합니다.

키 관리자가이 키의 삭제를 취소할 수 kms:CancelKeyDeletion있는를 허용합니다. KMS 이 권한을 삭제하려면 키 관리자가 이 키를 삭제하도록 허용(Allow key administrators to delete this key) 옵션을 삭제합니다.

키 관리자가 이 KMS 키에서 키 구성 요소의 온디맨드 교체를 수행할 수 kms:RotateKeyOnDemand있는를 허용합니다.

kms:ImportKeyMaterial 권한을 통해 키 관리자는 키 구성 요소를 KMS 키로 가져올 수 있습니다. 이 권한은 키 구성 요소 없이 KMS 키를 생성하는 경우에만 키 정책에 포함됩니다.

kms:ReplicateKey 권한을 통해 키 관리자는 다른 AWS 리전에서 다중 리전 기본 키의 복제본을 생성할 수 있습니다. 이 권한은 다중 리전 기본 또는 복제본 키를 생성하는 경우에만 키 정책에 포함됩니다.

kms:UpdatePrimaryRegion 권한은 키 관리자가 다중 리전 복제본 키를 다중 리전 기본 키로 변경하도록 허용합니다. 이 권한은 다중 리전 기본 또는 복제본 키를 생성하는 경우에만 키 정책에 포함됩니다.

콘솔은 대칭 암호화 키에 대한 KMS 키 정책에 다음 문을 추가합니다.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",  
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:GenerateDataKey*",
    "kms:ReEncrypt*"
  ],
  "Resource": "*"
}

콘솔은 HMAC KMS 키에 대한 키 정책에 다음 문을 추가합니다.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",  
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:DescribeKey",
    "kms:GenerateMac",
    "kms:VerifyMac"
  ],
  "Resource": "*"
}

콘솔은 키 사용량이 암호화 및 복호화인 비대칭 KMS 키에 대한 키 정책에 다음 문을 추가합니다.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:GetPublicKey"
  ],
  "Resource": "*"
}

콘솔은 키 사용량이 서명 및 확인인 비대칭 KMS 키에 대한 키 정책에 다음 문을 추가합니다.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:DescribeKey",
    "kms:GetPublicKey",
    "kms:Sign",
    "kms:Verify"
  ],
  "Resource": "*"
}

콘솔은 키 계약을 사용하는 비대칭 KMS 키에 대한 키 정책에 다음 문을 추가합니다.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:DescribeKey",
    "kms:GetPublicKey",
    "kms:DeriveSharedSecret"
  ],
  "Resource": "*"
}

키 사용자가이 KMS 키로 데이터를 암호화할 수 있습니다.

키 사용자가이 KMS 키를 사용하여 데이터를 복호화할 수 있습니다.

키 사용자가이 KMS 키로 공유 보안 암호를 추출할 수 있도록 허용합니다.

키 사용자가 식별자, 생성 날짜 및 KMS 키 상태를 포함하여이 키에 대한 자세한 정보를 얻을 수 있습니다. 또한 키 사용자가 AWS KMS 콘솔에서 KMS 키에 대한 세부 정보를 표시할 수 있습니다.

키 사용자가 클라이언트 측 암호화 작업을 위해 대칭 데이터 키 또는 비대칭 데이터 키 페어를 요청하도록 허용합니다. 콘솔은 * 와일드카드 문자를 사용하여 GenerateDataKey, GenerateDataKeyWithoutPlaintext, 및 API 작업에 대한 권한을 나타냅니다GenerateDataKeyPairGenerateDataKeyPairWithoutPlaintext. 이러한 권한은 데이터 KMS 키를 암호화하는 대칭 키에만 유효합니다.

키 사용자가 HMAC KMS 키를 사용하여 HMAC 태그를 생성할 수 있습니다.

키 사용자가 비대칭 키의 퍼블릭 KMS 키를 다운로드할 수 있습니다. 이 퍼블릭 키를 공유하는 당사자는 외부에서 데이터를 암호화할 수 있습니다 AWS KMS. 그러나, 그 암호문은 AWS KMS에서 Decrypt 작업을 호출해야만 해독할 수 있습니다.

키 사용자가 원래이 KMS 키로 암호화된 데이터를 다시 암호화하거나이 KMS 키를 사용하여 이전에 암호화된 데이터를 다시 암호화할 수 있습니다. ReEncrypt 작업을 수행하려면 소스 키와 대상 KMS 키 모두에 액세스해야 합니다. 이를 위해 소스 KMS 키에 대한 kms:ReEncryptFrom 권한과 대상 KMS 키에 대한 kms:ReEncryptTo 권한을 허용할 수 있습니다. 그러나 간소화를 위해 콘솔은 두 KMS 키 모두에서 kms:ReEncrypt* (*와일드카드 문자 포함)를 허용합니다.

키 사용자가이 KMS 키로 메시지에 서명할 수 있도록 허용합니다.

키 사용자가이 KMS 키를 사용하여 서명을 확인할 수 있습니다.

키 사용자가 HMAC KMS 키를 사용하여 HMAC 태그를 확인할 수 있습니다.