Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
AWS KMSPermisos de
Esta tabla está diseñada para ayudarle a entender los permisos de AWS KMS para que pueda controlar el acceso a los recursos de AWS KMS. Las definiciones de los títulos de las columnas aparecen bajo la tabla.
También puede obtener información sobre los permisos de AWS KMS consultando el tema Acciones, recursos y claves de condición para AWS Key Management Service de la Referencia de autorizaciones de servicio. Sin embargo, ese tema no enumera todas las claves de condición que puede utilizar para limitar cada permiso.
Para obtener más información sobre qué operaciones de AWS KMS son válidas para las claves de KMS de cifrado simétrico, las claves KMS asimétricas y las claves KMS HMAC, consulte Referencia de tipos de claves.
nota
Es posible que tenga que desplazarse en forma horizontal o vertical para ver todos los datos de la tabla.
| Acciones y permisos | Tipo de política | Uso entre cuentas | Recursos (para políticas de IAM) | AWS KMSClaves de condición de |
|---|---|---|---|---|
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
| ConnectCustomKeyStore
|
Política de IAM | No |
|
|
|
Para utilizar esta operación, el intermediario necesita permiso
Para obtener más información, consulte Control del acceso a alias. |
Política de IAM (para el alias) |
No |
Alias |
Ninguno (cuando se controla el acceso al alias) |
|
Política de claves (para la clave KMS) |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
| CreateCustomKeyStore
|
Política de IAM | No |
|
|
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones de concesión: Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de IAM |
No |
|
kms:BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (clave de condición global AWS) aws:ResourceTag/tag-key (clave de condición global AWS) aws:TagKeys (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
Para utilizar esta operación, el intermediario necesita permiso
Para obtener más información, consulte Control del acceso a alias. |
Política de IAM (para el alias) |
No |
Alias |
Ninguno (cuando se controla el acceso al alias) |
|
Política de claves (para la clave KMS) |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
| DeleteCustomKeyStore
|
Política de IAM | No |
|
|
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
| DeriveSharedSecret
|
Política de claves | Sí | Clave KMS | Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Condiciones para operaciones criptográficas: |
| DescribeCustomKeyStores
|
Política de IAM | No |
|
|
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
| DisconnectCustomKeyStore
|
Política de IAM | No |
|
|
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Condiciones de rotación automática de claves: |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS Genera un par de claves de datos asimétricos protegido por una clave de KMS de cifrado simétrica. |
Condiciones para pares de claves de datos: Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
GenerateDataKeyPairWithoutPlaintext
|
Política de claves |
Sí |
Clave KMS Genera un par de claves de datos asimétricos protegido por una clave de KMS de cifrado simétrica. |
Condiciones para pares de claves de datos: Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
GenerateDataKeyWithoutPlaintext
|
Política de claves |
Sí |
Clave KMS |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
| GenerateMac
|
Política de claves | Sí | Clave KMS | Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Condiciones para operaciones criptográficas: |
|
|
Política de IAM |
N/A |
|
Ninguno |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: kms:ExpirationModel |
|
|
Política de IAM |
No |
|
Ninguno |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de IAM |
No |
|
Ninguno |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de IAM |
La principal entidad especificada debe estar en la cuenta local, pero la operación devuelve concesiones en todas las cuentas. |
|
Ninguno |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
Para utilizar esta operación, la persona que llama necesita permiso en dos claves KMS:
|
Política de claves |
Sí |
Clave KMS |
Condiciones para operaciones criptográficas Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
Para utilizar esta operación, la persona que llama necesita estos permisos:
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
El permiso para retirar una concesión se determina principalmente por la concesión. Una política por sí sola no puede permitir el acceso a esta operación. Para obtener más información, consulte Retiro y revocación de concesiones. |
Política de IAM (Este permiso no es efectivo en una política de clave.) |
Sí |
Clave KMS |
Condiciones de contexto de cifrado: kms:EncryptionContext:context-key Condiciones de concesión: Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones: |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
Sí |
Clave KMS |
Condiciones para la firma y la verificación: kms:RequestAliasCondiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Condiciones para el etiquetado: aws:RequestTag/tag-key (clave de condición global AWS) aws:TagKeys (clave de condición global AWS) |
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Condiciones para el etiquetado: aws:RequestTag/tag-key (clave de condición global AWS) aws:TagKeys (clave de condición global AWS) |
|
Para utilizar esta operación, el intermediario necesita permiso
Para obtener más información, consulte Control del acceso a alias. |
Política de IAM (para el alias) |
No |
Alias |
Ninguno (cuando se controla el acceso al alias) |
|
Política de claves (para las claves KMS) |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
| UpdateCustomKeyStore
|
Política de IAM | No |
|
|
|
|
Política de claves |
No |
Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
|
Para utilizar esta operación, la persona que llama necesita permiso |
Política de claves |
No | Clave KMS |
Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Otras condiciones |
|
|
Política de claves |
Sí | Clave KMS |
Condiciones para la firma y la verificación: kms:RequestAliasCondiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) |
| VerifyMac
|
Política de claves | Sí | Clave KMS | Condiciones para las operaciones clave KMS: aws:ResourceTag/tag-key (clave de condición global AWS) Condiciones para operaciones criptográficas: |
Descripciones de las columnas
Las columnas de esta tabla proporcionan la siguiente información:
-
La lista de Acciones y permisos muestran cada operación de la API de AWS KMS y el permiso que habilita la operación. Especifique la operación en el elemento
Actionde una declaración de política. -
Tipo de política indica si el permiso se puede utilizar en una política de claves o en una política de IAM.
Política de claves significa que puede especificar el permiso en la política de claves. Cuando la política de claves contiene la declaración de política que permite las políticas de IAM, puede especificar el permiso en una política de IAM.
La política de IAM significa que puede especificar el permiso solo en la política de IAM.
-
Uso entre cuentas muestra las operaciones que los usuarios autorizados pueden realizar en recursos de una Cuenta de AWS diferente.
Un valor de Yes (Sí) significa que las entidades principales pueden realizar la operación en los recursos en una Cuenta de AWS diferente.
Un valor de No significa que las principales entidades pueden realizar la operación solo en recursos en sus propios Cuenta de AWS.
Si otorga a una entidad principal de una cuenta diferente un permiso que no se puede utilizar en un recurso entre cuentas, el permiso no será efectivo. Por ejemplo, si asigna una entidad principal en un permiso de cuenta diferente kms:TagResource a una clave KMS en su cuenta, sus intentos de etiquetar la clave KMS de su cuenta fallarán.
-
Recursos enumera los recursos de AWS KMS a los que se aplican los permisos. AWS KMS admite dos tipos de recursos: una clave KMS y un alias. En una política de claves, el valor del elemento
Resourcees siempre*, lo que indica la clave KMS a la que está asociada la política de claves.Utilice los siguientes valores para representar un recurso de AWS KMS en una política de IAM.
- Clave KMS
-
Cuando el recurso sea una clave KMS, utilice su ARN de clave. Para obtener ayuda, consulte Encontrar el ID de clave y el ARN de clave.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDPor ejemplo:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Cuando el recurso sea un alias, utilice su ARN de alias. Para obtener ayuda, consulte Búsqueda del nombre del alias y el ARN de alias para una clave de KMS.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_namePor ejemplo:
arn:aws:kms:us-west-2:111122223333:alias/ExampleAlias
*(asterisco)-
Cuando el permiso no se aplique a un recurso determinado (clave KMS o alias), utilice un asterisco (
*).En una política de IAM para un permiso de AWS KMS, un asterisco en el elemento
Resourceindica todos los recursos de AWS KMS (claves KMS y alias). También puede utilizar un asterisco en el elementoResourcecuando el permiso AWS KMS no se aplica a ninguna clave KMS o alias concreto. Por ejemplo, al permitir o denegar un permisokms:CreateKeyokms:ListKeys, debe establecer el elementoResourceen*.
-
Claves de condición de AWS KMS muestra las claves de condición de AWS KMS que puede utilizar para controlar el acceso a la operación. Las condiciones se especifican en un elemento
Conditionde la política. Para obtener más información, consulte AWS KMS claves de condición. Esta columna incluye además las claves de condición globales de AWS que admite AWS KMS, pero no por todos los servicios de AWS.
