本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

預設金鑰政策

建立KMS金鑰時，您可以指定新金鑰的KMS金鑰政策。如果您不提供 ，請為您 AWS KMS 建立 。 AWS KMS 使用的預設金鑰政策會因您在 AWS KMS 主控台中建立金鑰或使用 而有所不同 AWS KMS API。

以程式設計方式建立金鑰時的預設KMS金鑰政策

當您使用 以程式設計方式建立KMS金鑰 AWS KMS API（包括使用 AWS SDKs、 AWS Command Line Interface或 AWS Tools for PowerShell），而且您未指定金鑰政策時， 會 AWS KMS 套用非常簡單的預設金鑰政策。此預設金鑰政策有一個政策陳述式，可讓擁有KMS金鑰的 AWS 帳戶 使用IAM政策以允許存取KMS金鑰上的所有 AWS KMS 操作。如需有關此政策陳述式的詳細資訊，請參閱允許存取 AWS 帳戶 並啟用IAM政策。

當您使用 建立金鑰時的預設KMS金鑰政策 AWS Management Console

當您使用 建立KMS金鑰 AWS Management Console時，金鑰政策會從允許存取 AWS 帳戶 並啟用IAM政策 的政策陳述式開始。然後，主控台會新增金鑰管理員陳述式 、金鑰使用者陳述式 和 （適用於大多數金鑰類型） 陳述式，允許主體將KMS金鑰與其他 AWS 服務搭配使用。您可以使用 AWS KMS 主控台的功能來指定IAM使用者、 IAMroles和 AWS 帳戶 誰是金鑰管理員，以及誰是金鑰使用者 （或兩者）。

許可

允許存取 AWS 帳戶 並啟用IAM政策

以下預設金鑰政策陳述式至關重要。

下列金鑰政策陳述式是以程式設計方式建立之金鑰的整個預設KMS金鑰政策。這是 AWS KMS 主控台中建立之金鑰的預設KMS金鑰政策中的第一個政策陳述式。

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

允許金鑰管理員管理KMS金鑰

主控台建立的預設金鑰政策可讓您選擇帳戶中IAM的使用者和角色，並讓他們成為金鑰管理員。此陳述式稱為金鑰管理員陳述式。金鑰管理員具有管理KMS金鑰的許可，但沒有在密碼編譯操作 中使用KMS金鑰的許可。您可以在預設檢視或政策檢視中建立KMS金鑰時，將IAM使用者和角色新增至金鑰管理員清單。

以下範例顯示 AWS KMS 主控台之預設檢視中的金鑰管理員陳述式。

以下是 AWS KMS 主控台之政策檢視中的範例金鑰管理員陳述式。此金鑰管理員陳述式適用於單一區域對稱加密KMS金鑰。

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion",
    "kms:RotateKeyOnDemand"
  ],
  "Resource": "*"
}

最常見金鑰的預設KMS金鑰管理員陳述式，即單一區域對稱加密KMS金鑰，允許下列許可。如需有關每個許可的詳細資訊，請參閱 AWS KMS 許可。

當您使用 AWS KMS 主控台建立KMS金鑰時，主控台會將您指定的使用者和角色新增至金鑰管理員陳述式中的 Principal元素。

這些許可中有許多都包含萬用字元 (*)，允許以指定動詞開頭的所有許可。因此，當 AWS KMS 新增操作時，會自動允許金鑰管理員使用這些API操作。您不需要更新您的主要政策，即可包含新的操作。如果您想要將金鑰管理員限制為一組固定API的操作，您可以變更金鑰政策 。

 

AWS KMS 當您建立特殊用途金鑰時， 會將下列許可新增至預設金鑰管理員陳述式。

允許金鑰使用者使用KMS金鑰

主控台為金鑰建立的預設KMS金鑰政策可讓您選擇帳戶中IAM的使用者和IAM角色，以及外部 AWS 帳戶，並使其成為金鑰使用者 。

主控台會將兩個政策陳述式新增至金鑰使用者的金鑰政策。

您可以在建立KMS金鑰時 AWS 帳戶 ，將IAM使用者、IAM角色和其他 新增至金鑰使用者清單中。您也可以使用主控台的金鑰政策預設檢視來編輯清單，如下圖所示。金鑰政策的預設檢視位於金鑰詳細資訊頁面。如需允許其他 中的使用者 AWS 帳戶 使用 KMS金鑰的詳細資訊，請參閱 允許其他帳戶中的使用者使用KMS金鑰。

單一區域對稱的預設金鑰使用者陳述式允許下列許可。如需有關每個許可的詳細資訊，請參閱 AWS KMS 許可。

當您使用 AWS KMS 主控台建立KMS金鑰時，主控台會將您指定的使用者和角色新增至每個金鑰使用者陳述式中的 Principal元素。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

允許金鑰使用者使用KMS金鑰進行密碼編譯操作

金鑰使用者具有許可，可在KMS金鑰支援的所有密碼編譯操作中直接使用KMS金鑰。他們也可以使用 DescribeKey 操作，在 AWS KMS 主控台中或使用 AWS KMS API操作來取得有關KMS金鑰的詳細資訊。

根據預設， AWS KMS 主控台會將下列範例中的金鑰使用者陳述式新增至預設金鑰政策。由於它們支援不同的API操作，因此對稱加密KMS金鑰、HMACKMS金鑰、公有金鑰加密的非對稱KMS金鑰和用於簽署和驗證的非對稱KMS金鑰的政策陳述式中的動作略有不同。

這些陳述式中的動作會提供金鑰使用者下列許可。

允許金鑰使用者搭配 AWS 服務使用KMS金鑰

主控台中的預設金鑰政策也會為金鑰使用者提供所需的授予許可，以保護其使用 grant. AWS services AWS 的服務中的資料。 服務通常會使用 grant 來取得使用KMS金鑰的特定有限許可。

此金鑰政策陳述式允許金鑰使用者在KMS金鑰上建立、檢視和撤銷授予，但前提是授予操作請求來自AWS 與 整合的服務 AWS KMS。kms：GrantIsForAWSResource政策條件不允許使用者直接呼叫這些授予操作。當金鑰使用者允許時， AWS 服務可以代表使用者建立授予，允許服務使用KMS金鑰來保護使用者的資料。

金鑰使用者需要這些授予許可，才能將其KMS金鑰與整合服務搭配使用，但這些許可不足。金鑰使用者也需要有許可才能使用整合服務。如需讓使用者存取與 整合 AWS 之服務的詳細資訊 AWS KMS，請參閱整合服務的文件。

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

例如，金鑰使用者可以透過下列方式在KMS金鑰上使用這些許可。

預設金鑰政策允許金鑰使用者將其許可授予所有使用授權的整合服務。不過，您可以建立自訂金鑰政策，將許可限制為指定的 AWS 服務。如需詳細資訊，請參閱 公里：ViaService 條件金鑰。