Creación de una política de claves

(Opcional) El identificador de la declaración (Sid) una cadena arbitraria que puede utilizar para describir la declaración. El Sid en una política de claves puede incluir espacios. (No puede incluir espacios en un elemento Sid de política de IAM).

(Obligatorio) Determina si desea permitir o denegar los permisos en la declaración de política. Los valores válidos son Allow o Deny. Si no permite el acceso de forma explícita a una clave KMS, el acceso se deniega implícitamente. También puede denegar explícitamente el acceso a una clave KMS. Puede hacer esto para asegurarse de que un usuario no pueda tener acceso a ella, aunque otra política le permita el acceso.

(Obligatorio) La entidad principal es la identidad que obtiene los permisos especificados en la declaración de política. Puede especificar Cuentas de AWS, usuarios de IAM, roles de IAM y algunos servicios de AWS como entidades principales en una política de claves. Los grupos de usuarios de IAM no son una entidad principal válida en ningún tipo de política.

Un valor de asterisco, como "AWS": "*", representa todas las identidades de AWS de todas las cuentas.

Cuando la entidad principal en una declaración de política de claves es una entidad principal de Cuenta de AWS se expresa como arn:aws:iam::111122223333:root", la declaración de la política no concede permisos a ninguna entidad principal de IAM. En su lugar, concede los permisos de Cuenta de AWS para utilizar las políticas de IAM a fin de delegar los permisos especificados en la política de claves. (Una entidad principal en formato arn:aws:iam::111122223333:root" no representa al usuario raíz de la cuenta de AWS, a pesar del uso de “root” en el identificador de la cuenta. Sin embargo, la entidad principal de la cuenta representa a la cuenta y a sus administradores, incluido el usuario raíz de la cuenta).

Cuando la entidad principal es otra Cuenta de AWS o sus entidades principales, los permisos solo son efectivos cuando la cuenta está habilitada en la región con la clave KMS y la política de clave. Para obtener información acerca de las regiones que no están habilitadas de forma predeterminada (“Regiones de adhesión”), consulte Administración de Regiones de AWS en la Referencia general de AWS.

Para permitir que una cuenta de Cuenta de AWS diferente o sus entidades principales utilicen una clave KMS, debe proporcionarle permisos mediante una política de claves y una política de IAM en la otra cuenta. Para obtener más información, consulte Permitir a los usuarios de otras cuentas utilizar una clave KMS.

(Obligatorio) Especifique las operaciones de la API que se permitirán o denegarán. Por ejemplo, la acción kms:Encrypt se corresponde con la operación de la AWS KMS Encrypt. Puede enumerar varias acciones en una declaración de política. Para obtener más información, consulte Referencia de permisos.

(Obligatorio) En una política de claves, el valor del elemento Recurso es "*", que significa “esta clave KMS”. El asterisco ("*") identifica la clave KMS a la que se adjunta la política de clave.

(Opcional) Las condiciones especifican requisitos que deben cumplirse para que se aplique una política de claves. Con las condiciones, AWS puede evaluar el contexto de una solicitud de la API para determinar si se aplica la declaración de política.

Para especificar condiciones, se utilizan claves de condición predeterminadas. AWS KMS es compatible con las claves de condición global de AWS y las claves de condición de AWS KMS. Para admitir el control de acceso basado en atributos (ABAC), AWS KMS proporciona claves de condición que controlan el acceso a una clave KMS basándose en etiquetas y alias. Para obtener más información, consulte ABAC para AWS KMS.

El formato de una condición es:

"Condition": {"condition operator": {"condition key": "condition value"}}

por ejemplo:

"Condition": {"StringEquals": {"kms:CallerAccount": "111122223333"}}