本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
AWS Key Management Service 的動作、資源和條件索引鍵
AWS Key Management Service （服務字首：kms) 提供可用於 IAM 許可政策的下列服務特定資源、動作和條件內容金鑰。
參考資料：
-
了解如何設定此服務。
-
檢視可供此服務使用的 API 操作清單。
-
了解如何使用 IAM 許可政策來保護此服務及其資源。
主題
AWS Key Management Service 定義的動作
您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。
「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource 元素限制資源存取，則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。
「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。
注意
資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。
如需下表各欄的詳細資訊，請參閱動作資料表。
AWS Key Management Service 定義的資源類型
此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。
AWS Key Management Service 的條件索引鍵
AWS Key Management Service 定義下列條件金鑰，可用於 IAM 政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。
若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。
| 條件索引鍵 | 描述 | Type |
|---|---|---|
| aws:RequestTag/${TagKey} | 根據請求中標籤的索引鍵和值，篩選對指定 AWS KMS 操作的存取權 | 字串 |
| aws:ResourceTag/${TagKey} | 根據指派給 AWS KMS 金鑰的標籤篩選對指定 AWS KMS 操作的存取權 | 字串 |
| aws:TagKeys | 根據請求中的標籤索引鍵篩選對指定 AWS KMS 操作的存取 | ArrayOfString |
| kms:BypassPolicyLockoutSafetyCheck | 根據請求中的 BypassPolicyLockoutSafetyCheck 參數值，篩選對 CreateKey 和 PutKeyPolicy 操作的存取權 | Bool |
| kms:CallerAccount | 根據發起人的 AWS 帳戶 ID 篩選對指定 AWS KMS 操作的存取。您可以使用此條件金鑰，允許或拒絕存取 AWS 帳戶 單一政策陳述式中 中的所有 IAM 使用者和角色 | 字串 |
| kms:CustomerMasterKeySpec | kms:CustomerMasterKeySpec 條件索引鍵已被取代。相反地，請使用 kms:KeySpec 條件索引鍵 | 字串 |
| kms:CustomerMasterKeyUsage | kms:CustomerMasterKeyUsage 條件索引鍵已被取代。相反地，請使用 kms:KeyUsage 條件索引鍵 | 字串 |
| kms:DataKeyPairSpec | 根據請求中的 KeyPairSpec 參數值，篩選對 GenerateDataKeyPair 和 GenerateDataKeyPairWithoutPlaintext 操作的存取權 | 字串 |
| kms:EncryptionAlgorithm | 根據請求中的加密演算法的值，篩選對加密操作的存取權 | 字串 |
| kms:EncryptionContext:${EncryptionContextKey} | 根據密碼編譯操作中的加密內容，篩選對稱 AWS KMS 金鑰的存取權。此條件評估每個鍵值加密內容對中的索引鍵和值。 | 字串 |
| kms:EncryptionContextKeys | 根據密碼編譯操作中的加密內容，篩選對稱 AWS KMS 金鑰的存取權。此條件索引鍵僅評估每個鍵值加密內容對中的索引鍵。 | ArrayOfString |
| kms:ExpirationModel | 根據請求中的 ExpirationModel 參數值，篩選對 ImportKeyMaterial 操作的存取權 | 字串 |
| kms:GrantConstraintType | 根據請求中的准許限制，篩選對 CreateGrant 操作的存取權 | 字串 |
| kms:GrantIsForAWSResource | 當請求來自指定的 AWS 服務時，篩選對 CreateGrant 操作的存取 | Bool |
| kms:GrantOperations | 根據准許中的操作，篩選對 CreateGrant 操作的存取權 | ArrayOfString |
| kms:GranteePrincipal | 根據准許中的承授者委託人，篩選對 CreateGrant 操作的存取權 | 字串 |
| kms:KeyAgreementAlgorithm | 根據請求中的 KeyAgreementAlgorithm 參數值，篩選對 DeriveSharedSecret 操作的存取 | 字串 |
| kms:KeyOrigin | 根據操作中建立或使用的 AWS KMS 金鑰的 Origin 屬性，篩選 API 操作的存取權。用來准予 CreateKey 操作，或針對 KMS 金鑰獲准執行的任何操作 | 字串 |
| kms:KeySpec | 根據由 操作所建立或使用之 AWS KMS 金鑰的 KeySpec 屬性，篩選 API 操作的存取權。用來准予 CreateKey 操作，或針對 KMS 金鑰資源獲准執行的任何操作 | 字串 |
| kms:KeyUsage | 根據操作中建立或使用之 AWS KMS 金鑰的 KeyUsage 屬性，篩選 API 操作的存取權。用來准予 CreateKey 操作，或針對 KMS 金鑰資源獲准執行的任何操作 | 字串 |
| kms:MacAlgorithm | 根據請求中的 MacAlgorithm 參數，篩選 GenerateMac 和 VerifyMac 操作的存取權 | 字串 |
| kms:MessageType | 根據請求中的 MessageType 參數值，篩選對 Sign 和 Verify 操作的存取權 | 字串 |
| kms:MultiRegion | 根據操作中建立或使用的 AWS KMS 金鑰的 MultiRegion 屬性，篩選 API 操作的存取權。用來准予 CreateKey 操作，或針對 KMS 金鑰資源獲准執行的任何操作 | Bool |
| kms:MultiRegionKeyType | 根據操作中建立或使用的 AWS KMS 金鑰的 MultiRegionKeyType 屬性，篩選對 API 操作的存取。用來准予 CreateKey 操作，或針對 KMS 金鑰資源獲准執行的任何操作 | 字串 |
| kms:PrimaryRegion | 根據請求中的 PrimaryRegion 參數值，篩選 UpdatePrimaryRegion 操作的存取權 | 字串 |
| kms:ReEncryptOnSameKey | 當 ReEncrypt 操作使用與 Encrypt 操作相同的 AWS KMS 金鑰時，篩選對 ReEncrypt 操作的存取 | Bool |
| kms:RecipientAttestation:ImageSha384 | 根據請求中證明文件中的映像雜湊篩選 API 操作的存取權 | 字串 |
| kms:RecipientAttestation:PCR0 | 依證明文件中的平台組態註冊表 (PCR) 0 篩選存取權。PCR0 是 enclave 影像檔案內容的連續測量，不含區段資料 | 字串 |
| kms:RecipientAttestation:PCR1 | 依證明文件中的平台組態註冊表 (PCR) 1 篩選存取權。PCR1 是 Linux 核心和引導資料的連續測量 | 字串 |
| kms:RecipientAttestation:PCR10 | 依請求中證明文件中的平台組態註冊表 (PCR) 10 篩選存取權。PCR10 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR11 | 依請求中證明文件中的平台組態註冊表 (PCR) 11 篩選存取權。PCR11 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR12 | 依請求中證明文件中的平台組態註冊表 (PCR) 12 篩選存取權。PCR12 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR13 | 依請求中證明文件中的平台組態註冊表 (PCR) 13 篩選存取權。PCR13 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR14 | 依請求中證明文件中的平台組態註冊表 (PCR) 14 篩選存取權。PCR14 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR15 | 依請求中證明文件中的平台組態註冊表 (PCR) 15 篩選存取權。PCR15 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR16 | 依請求中證明文件中的平台組態註冊表 (PCR) 16 篩選存取權。PCR16 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR17 | 依請求中證明文件中的平台組態註冊表 (PCR) 17 篩選存取權。PCR17 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR18 | 依請求中證明文件中的平台組態註冊表 (PCR) 18 篩選存取權。PCR18 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR19 | 依請求中證明文件中的平台組態註冊表 (PCR) 19 篩選存取權。PCR19 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR2 | 依證明文件中的平台組態註冊表 (PCR) 2 篩選存取權。PCR2 是使用者應用程式的連續、依序測量，沒有開機 ramf | 字串 |
| kms:RecipientAttestation:PCR20 | 依請求中證明文件中的平台組態註冊表 (PCR) 20 篩選存取權。PCR20 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR21 | 依請求中證明文件的平台組態註冊表 (PCR) 21 篩選存取權。PCR21 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR22 | 依請求中證明文件的平台組態註冊表 (PCR) 22 篩選存取權。PCR22 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR23 | 依請求中證明文件中的平台組態註冊表 (PCR) 23 篩選存取權。PCR23 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR24 | 依請求中證明文件中的平台組態註冊表 (PCR) 24 篩選存取權。PCR24 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR25 | 依請求中證明文件中的平台組態註冊表 (PCR) 25 篩選存取權。PCR25 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR26 | 依請求中證明文件中的平台組態註冊表 (PCR) 26 篩選存取權。PCR26 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR27 | 依請求中證明文件中的平台組態註冊表 (PCR) 27 篩選存取權。PCR27 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR28 | 依請求中證明文件的平台組態註冊表 (PCR) 28 篩選存取權。PCR28 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR29 | 依請求中證明文件中的平台組態註冊表 (PCR) 29 篩選存取權。PCR29 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR3 | 依證明文件中的平台組態註冊表 (PCR) 3 篩選存取權。PCR3 是指派給父執行個體之 IAM 角色的連續測量 | 字串 |
| kms:RecipientAttestation:PCR30 | 依請求中證明文件的平台組態註冊表 (PCR) 30 篩選存取權。PCR30 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR31 | 依請求中證明文件中的平台組態註冊表 (PCR) 31 篩選存取權。PCR31 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR4 | 依證明文件中的平台組態註冊表 (PCR) 4 篩選存取權。PCR4 是父執行個體 ID 的連續測量 | 字串 |
| kms:RecipientAttestation:PCR5 | 依請求中證明文件中的平台組態註冊表 (PCR) 5 篩選存取權。PCR5 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR6 | 依請求中證明文件中的平台組態註冊表 (PCR) 6 篩選存取權。PCR6 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR7 | 依請求中證明文件中的平台組態註冊表 (PCR) 7 篩選存取權。PCR7 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:RecipientAttestation:PCR8 | 依證明文件中的平台組態註冊表 (PCR) 8 篩選存取權。PCR8 是為 enclave 映像檔案指定的簽署憑證的測量 | 字串 |
| kms:RecipientAttestation:PCR9 | 依請求中證明文件中的平台組態註冊表 (PCR) 9 篩選存取權。PCR9 是一種自訂 PCR，可由使用者針對特定使用案例定義 | 字串 |
| kms:ReplicaRegion | 根據請求中的 ReplicaRegion 參數值，篩選 ReplicateKey 操作的存取權 | 字串 |
| kms:RequestAlias | 根據請求中的別名，篩選對加密編譯操作、DescribeKey 和 GetPublicKey 的存取權 | 字串 |
| kms:ResourceAliases | 根據與 AWS KMS 金鑰相關聯的別名，篩選對指定 AWS KMS 操作的存取權 | ArrayOfString |
| kms:RetiringPrincipal | 根據准許中的淘汰委託人，篩選對 CreateGrant 操作的存取權 | 字串 |
| kms:RotationPeriodInDays | 根據請求中的 RotationPeriodInDays 參數值，篩選對 EnableKeyRotation 操作的存取 | 數值 |
| kms:ScheduleKeyDeletionPendingWindowInDays | 根據請求中 PendingWindowInDays 參數的值，篩選對 ScheduleKeyDeletion 操作的存取權 | 數值 |
| kms:SigningAlgorithm | 根據請求中的簽署演算法，篩選對 Sign 和 Verify 操作的存取權 | 字串 |
| kms:ValidTo | 根據請求中的 ValidTo 參數值，篩選對 ImportKeyMaterial 操作的存取權。您可以使用此條件索引鍵，表示只有當金鑰資料在指定的日期之前過期時，才允許使用者匯入金鑰資料 | 日期 |
| kms:ViaService | 當代表委託人提出的請求來自指定的 AWS 服務時，篩選存取權 | 字串 |
| kms:WrappingAlgorithm | 根據請求中的 WrappingAlgorithm 參數值，篩選對 GetParametersForImport 操作的存取權 | 字串 |
| kms:WrappingKeySpec | 根據請求中的 WrappingKeySpec 參數值，篩選對 GetParametersForImport 操作的存取權 | 字串 |
