本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

ABAC 適用於 AWS KMS

屬性型存取控制 （ABAC） 是一種授權策略，它根據 屬性定義許可。 AWS KMS 支援ABAC可讓您根據與金鑰相關聯的標籤和別名來控制對客戶受管KMS金鑰的存取。在 ABAC中啟用的標籤和別名條件金鑰 AWS KMS 提供強大且彈性的方式，以授權主體使用KMS金鑰，而無需編輯政策或管理授予。但是，您應該謹慎使用這些功能，避免委託人意外被允許或拒絕存取。

如果您使用 ABAC，請注意，管理標籤和別名的許可現在是存取控制許可。在部署取決於標籤或別名的政策之前，請確定您知道所有KMS金鑰上的現有標籤和別名。新增、刪除和更新別名，以及標記和取消標記金鑰時，請採取合理的預防措施。只將管理標籤和別名的許可授予需要的委託人，並限制他們可以管理的標籤和別名。

進一步了解

ABAC 的條件索引鍵 AWS KMS

若要根據KMS金鑰的標籤和別名授權存取金鑰，請在金鑰政策中使用下列條件金鑰IAM。

¹可用於金鑰政策的任何條件金鑰也可以用於IAM政策，但前提是金鑰政策允許 。

²KMS金鑰資源操作是授權給特定KMS金鑰的操作。若要識別KMS金鑰資源操作，請在AWS KMS 許可表 中，尋找操作Resources資料欄中的KMS金鑰值。

例如，您可以使用這些條件索引鍵來建立下列政策。

ABAC 讓存取管理具有彈性和可擴展性。例如，您可以使用 aws:ResourceTag/tag-key 條件金鑰來建立IAM政策，允許主體僅在KMS金鑰具有Purpose=Test標籤時，才將KMS金鑰用於指定的操作。此政策適用於 的所有區域中的所有KMS金鑰 AWS 帳戶。

當連接至使用者或角色時，下列IAM政策允許主體使用所有現有的KMS金鑰搭配Purpose=Test標籤進行指定的操作。若要提供對新金鑰或現有KMS金鑰的存取權，您不需要變更政策。只要將Purpose=Test標籤連接至KMS金鑰即可。同樣地，若要從具有Purpose=Test標籤的KMS金鑰中移除此存取權，請編輯或刪除標籤。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AliasBasedIAMPolicy",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:*:111122223333:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Purpose": "Test"
        }
      }
    }
  ]
}

但是，如果您使用此功能，則請謹慎管理標籤和別名。新增、變更或刪除標籤或別名可能會無意中允許或拒絕存取KMS金鑰。沒有變更金鑰政策或建立授予許可的金鑰管理員，如果他們擁有管理標籤和別名的許可，則可以控制對KMS金鑰的存取。為了減輕這種風險，請考慮限制管理標籤的許可和別名。例如，您可能只允許選取的委託人管理 Purpose=Test 標籤。如需詳細資訊，請參閱 使用別名來控制對KMS金鑰的存取 和 使用標籤控制對KMS金鑰的存取。

標籤或別名？

AWS KMS 支援 ABAC 標籤和別名。這兩種選項都提供靈活、可擴展的存取控制策略，但彼此略有不同。

您可以根據您的特定 AWS 使用模式決定使用標籤或使用別名。例如，如果您已將標記許可指定給大多數管理員，則根據別名來控制授權策略可能會比較容易。或者，如果您接近每個KMS索引鍵 別名的配額，您可能偏好根據標籤的授權策略。

以下是一般利益的優勢。

標籤型存取控制的優勢

別名型存取控制的優勢