As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Controlar o acesso a chaves de várias regiões

Você pode usar chaves de várias regiões em cenários de conformidade, recuperação de desastres e backup que seriam mais complexos com chaves de uma única região. No entanto, como as propriedades de segurança das chaves de várias regiões são significativamente diferentes das de chaves de uma única região, convém ter cuidado ao autorizar a criação, o gerenciamento e o uso de chaves de várias regiões.

Use suas ferramentas de autorização para impedir a criação e o uso de chaves de várias regiões em qualquer cenário em que uma única região seja suficiente. Permita que os diretores repliquem uma chave multirregional somente no Regiões da AWS que for necessário. Dê permissão para chaves de várias regiões apenas às entidades principais que precisam delas e apenas para tarefas necessárias.

Você pode usar as principais políticas, IAM políticas e subsídios para permitir que IAM os diretores gerenciem e usem chaves multirregionais em seu. Conta da AWS Cada chave multirregional é um recurso independente com uma chave ARN e uma política de chaves exclusivas. Você precisa estabelecer e manter uma política de chaves para cada chave e garantir que IAM as políticas novas e existentes implementem sua estratégia de autorização.

Para oferecer suporte a chaves multirregionais, AWS KMS usa uma função vinculada ao IAM serviço. Essa função dá ao AWS KMS as permissões necessárias para sincronizar propriedades compartilhadas. Para obter mais informações, consulte Autorizando a sincronização AWS KMS de chaves multirregionais.

Noções básicas de autorização para chaves de várias regiões

Ao criar as principais políticas e IAM políticas para chaves multirregionais, considere os princípios a seguir.

Autorizar administradores e usuários de chave de várias regiões

As entidades principais que criam e gerenciam chaves de várias regiões precisam das seguintes permissões nas regiões primária e de réplica:

Criar uma chave primária

Para criar uma chave primária multirregional, o principal precisa das CreateServiceLinkedRole permissões kms: CreateKey e iam: em uma IAM política que seja efetiva na região da chave primária. As entidades principais que têm essas permissões podem criar chaves de região única e de várias regiões, a menos que você restrinja suas permissões.

A iam:CreateServiceLinkedRole permissão permite criar AWS KMS a AWSServiceRoleForKeyManagementServiceMultiRegionKeysfunção para sincronizar as propriedades compartilhadas das chaves multirregionais relacionadas.

Por exemplo, essa IAM política permite que um diretor crie qualquer tipo de KMS chave.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action": [
        "kms:CreateKey",
        "iam:CreateServiceLinkedRole"
      ],
      "Effect":"Allow",
      "Resource":"*"
  }
}

Para permitir ou negar a permissão para criar chaves primárias multirregionais, use a chave de MultiRegion condição kms:. Os valores válidos são true (chave de várias regiões) ou false (chave de região única). Por exemplo, a declaração de IAM política a seguir usa uma Deny ação com a chave de kms:MultiRegion condição para impedir que os principais criem chaves multirregionais.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action":"kms:CreateKey",
      "Effect":"Deny",
      "Resource":"*",
      "Condition": {
          "Bool": "kms:MultiRegion": true
      }
  }
}

Replicação de chaves

Para criar uma chave de réplica de várias regiões, a entidade principal precisará das seguintes permissões:

Tenha cuidado ao conceder essas permissões. Eles permitem que os diretores criem KMS chaves e as principais políticas que autorizam seu uso. A permissão kms:ReplicateKey também autoriza a transferência de material chave através dos limites da região no AWS KMS.

Para restringir o modo Regiões da AWS em que uma chave multirregional pode ser replicada, use a chave de condição kms: ReplicaRegion. Ela limita apenas a permissão kms:ReplicateKey. De outra forma, ela não terá efeito. Por exemplo, a política de chaves a seguir permite que a entidade principal replique essa chave primária, mas somente nas regiões especificadas.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:ReplicateKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ReplicaRegion": [
         "us-east-1",
         "eu-west-3",
         "ap-southeast-2"
      ]
    }
  }
}

Atualizar a região primária

As entidades principais autorizadas podem converter uma chave de réplica em uma chave primária, o que transforma a chave primária anterior em uma réplica. Essa ação é conhecida como atualização da região primária. Para atualizar a região principal, o principal precisa de kms: UpdatePrimaryRegion permissão em ambas as regiões. Você pode fornecer essas permissões em uma política ou IAM política chave.

Por exemplo, a política de chaves a seguir dá aos usuários que podem assumir a função de administrador permissão para atualizar a região primária da KMS chave. Essa KMS chave pode ser a chave primária ou uma chave de réplica nessa operação.

{
  "Effect": "Allow",
  "Resource": "*",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:UpdatePrimaryRegion"
}

Para restringir o Regiões da AWS que pode hospedar uma chave primária, use a chave de PrimaryRegion condição kms:. Por exemplo, a declaração de IAM política a seguir permite que os diretores atualizem a região primária das chaves multirregionais no Conta da AWS, mas somente quando a nova região primária for uma das regiões especificadas.

{
  "Effect": "Allow",  
  "Action": "kms:UpdatePrimaryRegion",
  "Resource": {
      "arn:aws:kms:*:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": {
      "kms:PrimaryRegion": [ 
         "us-west-2",
         "sa-east-1",
         "ap-southeast-1"
      ]
    }
  }
}

Usar e gerenciar chaves de várias regiões

Por padrão, os diretores que têm permissão para usar e gerenciar KMS chaves em uma Conta da AWS região também têm permissão para usar e gerenciar chaves multirregionais. No entanto, você pode usar a chave de MultiRegion condição kms: para permitir somente chaves de região única ou somente chaves de várias regiões. Ou use a chave de MultiRegionKeyType condição kms: para permitir somente chaves primárias multirregionais ou somente chaves de réplica. Ambas as chaves de condição controlam o acesso à CreateKeyoperação e a qualquer operação que use uma KMS chave existente, como Criptografar ou EnableKey.

O exemplo de declaração IAM de política a seguir usa a chave de kms:MultiRegion condição para impedir que os diretores usem ou gerenciem qualquer chave multirregional.

{
  "Effect": "Deny",  
  "Action": "kms:*",
  "Resource": "*",
  "Condition": {
    "Bool": "kms:MultiRegion": true
  }
}

Este exemplo IAM de declaração de política usa a kms:MultiRegionKeyType condição para permitir que os diretores programem e cancelem a exclusão de chaves, mas somente em chaves de réplica multirregionais.

{
  "Effect": "Allow",  
  "Action": [
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": {
      "arn:aws:kms:us-west-2:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": "kms:MultiRegionKeyType": "REPLICA"
  }
}