Política de chaves padrão

Ao criar uma chave do KMS, é possível especificar a política de chaves da nova chave do KMS. Se você não fornecer uma, o AWS KMS criará um para você. A política de chaves padrão que o AWS KMS usa difere, dependendo se você criar a chave no console do AWS KMS ou se usar a API do AWS KMS.

Política de chaves padrão ao criar uma chave do KMS de forma programática

Ao criar uma chave do KMS de forma programática com a API do AWS KMS (inclusive usando os SDKs da AWS, AWS Command Line Interface ou AWS Tools for PowerShell), e você não especifica uma política de chaves, o AWS KMS aplica uma política de chaves padrão muito simples. Esta política de chaves padrão tem uma instrução de política que concede à Conta da AWS que possui a permissão da chave do KMS para usar políticas do IAM para conceder acesso a todas as operações do AWS KMS na chave do KMS. Para obter mais informações sobre essa declaração de política, consulte Permitir acesso à Conta da AWS e habilita políticas do IAM.

Política de chaves padrão ao criar uma chave do KMS com o AWS Management Console

Quando você cria uma chave do KMS com o AWS Management Console, a política de chaves começa com a declaração de política que permite acesso à Conta da AWS e habilita políticas do IAM. Em seguida, o console adiciona uma declaração dos administradores da chave, uma declaração dos usuários da chave e (para a maioria dos tipos de chaves) uma instrução que permite que as entidades principais usem a chave do KMS com outros serviços da AWS. É possível usar os recursos do console do AWS KMS para especificar os usuários do IAM, os perfis do IAM e as Contas da AWS que são administradores de chaves e aqueles que são usuários de chaves (ou ambos).

Permissões

Permitir acesso à Conta da AWS e habilita políticas do IAM

A declaração de política de chave padrão a seguir é fundamental.

A declaração de política de chaves a seguir é toda a política de chaves padrão para chaves do KMS criadas programaticamente. É a primeira declaração de política na política de chaves padrão para chaves do KMS criadas no console do AWS KMS.

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

Permite que administradores de chaves administrem a chave do KMS

A política de chaves padrão criada pelo console permite que você escolha usuários e funções do IAM na conta e os torne administradores de chaves. Essa declaração é chamada de declaração de administradores de chaves. Os administradores de chaves têm permissões para gerenciar a chave do KMS, mas não têm permissões para usar essa chave em operações de criptografia. Você pode adicionar usuários e funções do IAM à lista de administradores de chaves ao criar a chave do KMS na visualização padrão ou na visualização de políticas.

O exemplo a seguir mostra a declaração de administradores de chaves na visualização padrão do console do AWS KMS.

A seguir é apresentado um exemplo que mostra a declaração de administradores de chaves na visualização padrão do console do AWS KMS. Essa instrução de administradores de chaves serve para uma chave do KMS de criptografia simétrica e região única.

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion",
    "kms:RotateKeyOnDemand"
  ],
  "Resource": "*"
}

A instrução padrão de administradores de chaves para a chave mais comum do KMS, uma chave do KMS de criptografia simétrica de região única, possibilita as permissões a seguir. Para obter informações detalhadas sobre cada permissão, consulte a Permissões AWS KMS.

Quando você usa o console do AWS KMS para criar uma chave do KMS, o console adiciona os usuários e as funções especificados ao elemento Principal na declaração dos administradores de chaves.

Muitas dessas permissões contêm o caractere curinga (*), que permite todas as permissões que começam com o verbo especificado. Como resultado, quando o AWS KMS adiciona novas operações de API, os administradores de chaves recebem automaticamente permissão para usá-las. Não é necessário atualizar suas políticas de chaves para incluir as novas operações. Se você preferir limitar seus administradores de chaves a um conjunto fixo de operações de API, poderá alterar sua política de chaves.

 

O AWS KMS adiciona as seguintes permissões à declaração de administradores de chaves padrão quando você cria chaves para fins especiais.

Permite que os usuários de chaves usem a chave do KMS

A política de chaves padrão que o console cria para chaves do KMS permite que você escolha usuários do IAM e perfis do IAM na conta e em Contas da AWS externas e torne-os usuários de chaves.

O console adiciona duas instruções de política à política de chaves para usuários de chaves.

Você pode adicionar usuários do IAM, funções do IAM e outras Contas da AWS à lista de usuários de chaves ao criar a chave do KMS. Você também pode editar a lista com a visualização padrão do console para políticas de chaves, conforme mostrado na imagem a seguir. A visualização padrão para políticas de chaves está na página de detalhes de chaves. Para obter mais informações sobre como permitir que usuários em outras Contas da AWS usem a chave do KMS, consulte Permitir que usuários de outras contas usem uma chave do KMS.

As declarações de usuários de chaves padrão para uma chave simétrica de região única possibilita as permissões a seguir. Para obter informações detalhadas sobre cada permissão, consulte a Permissões AWS KMS.

Quando você usa o console do AWS KMS para criar uma chave do KMS, o console adiciona os usuários e as funções especificados ao elemento Principal na declaração de cada usuário da chave.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Permite que usuários de chaves usem uma chave do KMS para operações de criptografia

Os usuários de chaves têm permissão para usar a chave do KMS diretamente em todas as operações de criptografia com suporte na chave do KMS. Eles também podem usar a operação DescribeKey para obter informações detalhadas sobre a chave do KMS no console do AWS KMS ou usando as operações de API do AWS KMS.

Por padrão, o console do AWS KMS adiciona as instruções dos usuários de chaves como as dos exemplos a seguir a uma política de chaves padrão. Como elas são compatíveis com diferentes operações de API, as ações nas instruções de política para chaves do KMS de criptografia simétrica, chaves do KMS de Hash-based message authentication code (HMAC – Código de autenticação de mensagem por hash), chaves do KMS assimétricas para criptografia de chave pública e chaves do KMS assimétricas para assinatura e verificação são ligeiramente diferentes.

As ações nessas declarações concedem aos usuários de chaves as permissões a seguir.

Permite que os usuários de chaves usem a chave do KMS com serviços da AWS

A política de chaves padrão no console também concede aos usuários de chaves as permissões de concessão de que precisam para proteger seus dados nos serviços da AWS que usam subsídios. Os serviços da AWS geralmente usam concessões para obter permissão específica e limitada para usar uma chave do KMS.

Esta instrução de política do chave permite que o usuário da chave crie, exiba e revogue concessões na chave do KMS, mas somente quando a solicitação de operação de concessão for proveniente de um serviço da AWS integrado ao AWS KMS. A condição kms:GrantIsForAWSResource da política não permite que o usuário chame essas operações de concessão diretamente. Quando o usuário chave o permite, um serviço da AWS pode criar uma concessão em nome do usuário que permita que o serviço use a chave do KMS para proteger os dados do usuário.

Os usuários de chaves precisam dessas permissões de concessão para usar a chave do KMS com os serviços integrados, mas essas permissões não são suficientes. Os usuários de chaves também precisam de permissão para usar os serviços integrados. Para obter detalhes sobre como conceder acesso aos usuários para um serviço da AWS integrado ao AWS KMS, consulte a documentação do serviço integrado.

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Por exemplo, os usuários de chaves podem usar essas permissões na chave do KMS das maneiras indicadas a seguir.

Apolítica de chaves padrão permite que os usuários de chaves deleguem suas permissões de concessão para todos os serviços integrados que usam concessões. No entanto, é possível criar uma política de chaves personalizada que restrinja a permissão a serviços específicos da AWS. Para obter mais informações, consulte a kms:ViaService chave de condição.