As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Política de chaves padrão

Ao criar uma KMS chave, você pode especificar a política de chaves para a nova KMS chave. Se você não fornecer um, AWS KMS cria um para você. A política de chaves padrão AWS KMS usada difere dependendo se você cria a chave no AWS KMS console ou usa AWS KMS API o.

Política de chaves padrão quando você cria uma KMS chave programaticamente

Quando você cria uma KMS chave programaticamente com o AWS KMS API(inclusive usando o AWS SDKs, AWS Command Line Interfaceou AWS Tools for PowerShell) e não especifica uma política de chaves, AWS KMS aplica uma política de chave padrão muito simples. Essa política de chaves padrão tem uma declaração de política que dá ao Conta da AWS proprietário da KMS chave permissão para usar IAM políticas para permitir o acesso a todas as AWS KMS operações na KMS chave. Para obter mais informações sobre essa declaração de política, consulte Permite o acesso às IAM políticas Conta da AWS e habilita.

Política de chaves padrão quando você cria uma KMS chave com o AWS Management Console

Quando você cria uma KMS chave com o AWS Management Console, a política de chaves começa com a declaração de política que permite o acesso Conta da AWS e ativa IAM as políticas. Em seguida, o console adiciona uma declaração de administradores de chaves, uma declaração de usuários-chave e (para a maioria dos tipos de chaves) uma declaração que permite que os diretores usem a KMS chave com outros AWS serviços. Você pode usar os recursos do AWS KMS console para especificar os IAM usuários e Contas da AWS quem são os principais administradores e aqueles que são os principais usuários (ou ambos). IAMroles

Permissões

Permite o acesso às IAM políticas Conta da AWS e habilita

A declaração de política de chave padrão a seguir é fundamental.

A declaração de política de chaves a seguir é toda a política de chaves padrão para KMS chaves criadas programaticamente. É a primeira declaração de política na política de chaves padrão para KMS chaves criadas no AWS KMS console.

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

Permite que os administradores de chaves administrem a chave KMS

A política de chaves padrão criada pelo console permite que você escolha IAM usuários e funções na conta e os torne administradores de chaves. Essa declaração é chamada de declaração de administradores de chaves. Os administradores de chaves têm permissões para gerenciar a KMS chave, mas não têm permissões para usar a KMS chave em operações criptográficas. Você pode adicionar IAM usuários e funções à lista de administradores de chaves ao criar a KMS chave na exibição padrão ou na exibição de política.

O exemplo a seguir mostra a declaração de administradores de chaves na visualização padrão do console do AWS KMS .

A seguir é apresentado um exemplo que mostra a declaração de administradores de chaves na visualização padrão do console do AWS KMS . Essa declaração do administrador de chaves é para uma chave de criptografia simétrica de região única. KMS

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion",
    "kms:RotateKeyOnDemand"
  ],
  "Resource": "*"
}

A declaração padrão dos administradores de chaves para a chave mais comum, uma KMS chave de criptografia KMS simétrica de região única, permite as seguintes permissões. Para obter informações detalhadas sobre cada permissão, consulte a AWS KMS permissões.

Quando você usa o AWS KMS console para criar uma KMS chave, o console adiciona os usuários e as funções que você especifica ao Principal elemento na instrução dos administradores de chaves.

Muitas dessas permissões contêm o caractere curinga (*), que permite todas as permissões que começam com o verbo especificado. Como resultado, ao AWS KMS adicionar novas API operações, os administradores de chaves podem usá-las automaticamente. Não é necessário atualizar suas políticas de chaves para incluir as novas operações. Se você preferir limitar seus administradores de chaves a um conjunto fixo de API operações, você pode alterar sua política de chaves.

 

AWS KMS adiciona as seguintes permissões à declaração padrão dos administradores de chaves quando você cria chaves para fins especiais.

Permite que os principais usuários usem a KMS chave

A política de chaves padrão que o console cria para KMS chaves permite que você escolha IAM usuários e IAM funções na conta, e externas Contas da AWS, e os torne usuários-chave.

O console adiciona duas instruções de política à política de chaves para usuários de chaves.

Você pode adicionar IAM usuários, IAM funções e outros Contas da AWS à lista de usuários-chave ao criar a KMS chave. Você também pode editar a lista com a visualização padrão do console para políticas de chaves, conforme mostrado na imagem a seguir. A visualização padrão para políticas de chaves está na página de detalhes de chaves. Para obter mais informações sobre como permitir que usuários de outras Contas da AWS pessoas usem a KMS chave, consultePermitir que usuários de outras contas usem uma chave do KMS.

As declarações de usuários de chaves padrão para uma chave simétrica de região única possibilita as permissões a seguir. Para obter informações detalhadas sobre cada permissão, consulte a AWS KMS permissões.

Quando você usa o AWS KMS console para criar uma KMS chave, o console adiciona os usuários e as funções que você especifica ao Principal elemento em cada declaração de usuários-chave.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Permite que os principais usuários usem uma KMS chave para operações criptográficas

Os usuários da chave têm permissão para usar a KMS chave diretamente em todas as operações criptográficas suportadas na KMS chave. Eles também podem usar a DescribeKeyoperação para obter informações detalhadas sobre a KMS chave no AWS KMS console ou usando as AWS KMS API operações.

Por padrão, o AWS KMS console adiciona declarações de usuários-chave, como as dos exemplos a seguir, à política de chaves padrão. Como eles oferecem suporte a API operações diferentes, as ações nas declarações de política para chaves de criptografia simétricas, KMS HMAC KMS chaves assimétricas para criptografia de chave pública e KMS chaves assimétricas KMS para assinatura e verificação são um pouco diferentes.

As ações nessas declarações concedem aos usuários de chaves as permissões a seguir.

Permite que os principais usuários usem a KMS chave com AWS serviços

A política de chaves padrão no console também dá aos principais usuários as permissões de que precisam para proteger seus dados em AWS serviços que usam concessões. AWS os serviços geralmente usam concessões para obter permissão específica e limitada para usar uma KMS chave.

Essa declaração de política de chaves permite que o usuário da chave crie, visualize e revogue concessões na KMS chave, mas somente quando a solicitação da operação de concessão vem de um AWS serviço integrado a. AWS KMS A condição kms: GrantIsFor AWSResource policy não permite que o usuário chame essas operações de concessão diretamente. Quando o usuário da chave permite, um AWS serviço pode criar uma concessão em nome do usuário que permite que o serviço use a KMS chave para proteger os dados do usuário.

Os principais usuários precisam dessas permissões de concessão para usar sua KMS chave com serviços integrados, mas essas permissões não são suficientes. Os usuários de chaves também precisam de permissão para usar os serviços integrados. Para obter detalhes sobre como dar aos usuários acesso a um AWS serviço que se integra ao AWS KMS, consulte a documentação do serviço integrado.

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Por exemplo, os principais usuários podem usar essas permissões na KMS chave das seguintes maneiras.

Apolítica de chaves padrão permite que os usuários de chaves deleguem suas permissões de concessão para todos os serviços integrados que usam concessões. No entanto, você pode criar uma política de chaves personalizada que restrinja a permissão a AWS serviços específicos. Para obter mais informações, consulte a kms: ViaService chave de condição.