关键策略中的 AWS 服务权限

许多 AWS 服务 AWS KMS keys 用来保护其管理的资源。当服务使用AWS 拥有的密钥或时 AWS 托管式密钥，该服务会为这些密钥建立和维护KMS密钥策略。

但是，当您通过 AWS 服务使用客户托管式密钥时，您可以设置并维护密钥策略。该密钥策略必须允许服务具有代表您保护资源所需的最低权限。建议您遵循最低权限原则：仅授予服务所需的权限。您可以通过了解服务需要哪些权限，并使用 AWS 全局条件键和 AWS KMS 条件键来优化权限，以有效做到这一点。

要查找服务在客户托管式密钥上需要的权限，请参阅该服务的加密文档。例如，有关 Amazon Elastic Block Store (AmazonEBS) 所需的IAM权限，请参阅亚马逊EC2用户指南和亚马逊EC2用户指南中的用户权限。有关 Secrets Manager 所需的权限，请参阅AWS Secrets Manager 用户指南中的授权使用KMS密钥。