As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Implementação de permissões de privilégio mínimo
Ao usar um armazenamento de chaves e AWS KMS chaveiros hierárquicos, recomendamos que você siga o princípio do menor privilégio definindo as seguintes funções:
- Administrador do armazenamento de chaves
-
Os administradores do armazenamento de chaves são responsáveis por criar e gerenciar o armazenamento de chaves e as chaves de ramificação que ele persiste e protege. Os administradores do armazenamento de chaves devem ser os únicos usuários com permissões de gravação na tabela do Amazon DynamoDB que serve como seu armazenamento de chaves. Eles devem ser os únicos usuários com acesso a operações privilegiadas de administrador, como CreateKeye. VersionKey Você só pode realizar essas operações ao configurar estaticamente suas ações de armazenamento de chaves.
CreateKeyé uma operação privilegiada que pode adicionar uma nova KMS chave ARN à sua lista de permissões de armazenamento de chaves. Essa KMS chave pode criar novas chaves de ramificação ativas. Recomendamos limitar o acesso a essa operação porque, depois que uma KMS chave é adicionada ao armazenamento de chaves da ramificação, ela não pode ser excluída. - Usuário da loja de chaves
-
Na maioria dos casos de uso, o usuário do armazenamento de chaves só interage com o armazenamento de chaves por meio do chaveiro hierárquico enquanto criptografa, descriptografa, assina e verifica dados. Como resultado, eles só precisam de permissões de leitura para a tabela do Amazon DynamoDB que serve como seu armazenamento de chaves. Os usuários do armazenamento de chaves só devem precisar acessar as operações de uso que possibilitam as operações criptográficas
GetActiveBranchKey, comoGetBranchKeyVersion, e.GetBeaconKeyEles não precisam de permissões para criar ou gerenciar as chaves de ramificação que usam.Você pode realizar operações de uso quando suas ações de armazenamento de chaves são configuradas estaticamente ou quando estão configuradas para descoberta. Você não pode realizar operações de administrador (
CreateKeyeVersionKey) quando suas ações de armazenamento de chaves estão configuradas para descoberta.Se o administrador do armazenamento de chaves da filial tiver permitido várias KMS chaves no armazenamento de chaves da filial, recomendamos que os usuários do armazenamento de chaves configurem suas ações de armazenamento de chaves para descoberta, para que o chaveiro hierárquico possa usar várias chaves. KMS
