本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用AWS SDK for PHP版本 3 處理AWS KMS關鍵策略

建立 KMS 金鑰時 AWS KMS key，您可以決定誰可以使用和管理該 KMS 金鑰。這些許可包含在稱為金鑰政策的文件中。您可以隨時使用金鑰原則來新增、移除或修改客戶受管 KMS 金鑰的權限，但無法編輯AWS受管 KMS 金鑰的金鑰原則。如需詳細資訊，請參閱的驗證和存取控制AWS KMS。

下列範例示範如何：

所有的範例程式碼都可以AWS SDK for PHP在這裡取得 GitHub。

登入資料

在執行範例程式碼之前，請依照中的說明設定您的AWS認證憑證。然後匯入AWS SDK for PHP，如中所述基本使用。

如需使用 AWS Key Management Service (AWS KMS) 的詳細資訊，請參閱AWS KMS開發人員指南。

列出所有重要政策

若要取得 KMS 金鑰的金鑰原則名稱，請使用此ListKeyPolicies作業。

匯入

require 'vendor/autoload.php';

use Aws\Exception\AwsException;

範例程式碼

$KmsClient = new Aws\Kms\KmsClient([
    'profile' => 'default',
    'version' => '2014-11-01',
    'region' => 'us-east-2'
]);

$keyId = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab';
$limit = 10;

try {
    $result = $KmsClient->listKeyPolicies([
        'KeyId' => $keyId,
        'Limit' => $limit,
    ]);
    var_dump($result);
} catch (AwsException $e) {
    // output error message if fails
    echo $e->getMessage();
    echo "\n";
}

擷取金鑰政策

若要取得 KMS 金鑰的金鑰原則，請使用GetKeyPolicy作業。

GetKeyPolicy 需要政策名稱。除非您在建立 KMS 金鑰時建立金鑰原則，否則唯一有效的原則名稱是預設值。進一步瞭解AWS Key Management Service開發人員指南中的預設金鑰政策。

匯入

require 'vendor/autoload.php';

use Aws\Exception\AwsException;

範例程式碼

$KmsClient = new Aws\Kms\KmsClient([
    'profile' => 'default',
    'version' => '2014-11-01',
    'region' => 'us-east-2'
]);

$keyId = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab';
$policyName = "default";

try {
    $result = $KmsClient->getKeyPolicy([
        'KeyId' => $keyId,
        'PolicyName' => $policyName
    ]);
    var_dump($result);
} catch (AwsException $e) {
    // output error message if fails
    echo $e->getMessage();
    echo "\n";
}

設定金鑰政策

若要建立或變更 KMS 金鑰的金鑰原則，請使用此PutKeyPolicy作業。

PutKeyPolicy 需要政策名稱。除非您在建立 KMS 金鑰時建立金鑰原則，否則唯一有效的原則名稱為預設值。進一步瞭解AWS Key Management Service開發人員指南中的預設金鑰政策。

匯入

require 'vendor/autoload.php';

use Aws\Exception\AwsException;

範例程式碼

$KmsClient = new Aws\Kms\KmsClient([
    'profile' => 'default',
    'version' => '2014-11-01',
    'region' => 'us-east-2'
]);

$keyId = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab';
$policyName = "default";

try {
    $result = $KmsClient->putKeyPolicy([
        'KeyId' => $keyId,
        'PolicyName' => $policyName,
        'Policy' => '{ 
            "Version": "2012-10-17", 
            "Id": "custom-policy-2016-12-07", 
            "Statement": [ 
                { "Sid": "Enable IAM User Permissions", 
                "Effect": "Allow", 
                "Principal": 
                   { "AWS": "arn:aws:iam::111122223333:user/root" }, 
                "Action": [ "kms:*" ], 
                "Resource": "*" }, 
                { "Sid": "Enable IAM User Permissions", 
                "Effect": "Allow", 
                "Principal":                 
                   { "AWS": "arn:aws:iam::111122223333:user/ExampleUser" }, 
                "Action": [
                    "kms:Encrypt*",
                    "kms:GenerateDataKey*",
                    "kms:Decrypt*",
                    "kms:DescribeKey*",
                    "kms:ReEncrypt*"
                ], 
                "Resource": "*" }                 
            ]            
        } '
    ]);
    var_dump($result);
} catch (AwsException $e) {
    // output error message if fails
    echo $e->getMessage();
    echo "\n";
}