Acciones, recursos y claves de condición para AWS Servicio de administración de claves
AWS El Servicio de administración de claves (prefijo de servicio:kms) proporciona las siguientes operaciones, recursos, acciones y claves de condición específicos del servicio para su uso en las políticas de permisos de IAM.
Referencias:
-
Obtenga información para configurar este servicio.
-
Vea una lista de las operaciones de API disponibles para este servicio.
-
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.
-
Consulte la referencia de autorización del servicio programático para este servicio
.
Temas
Las operaciones de la API se definen mediante AWS Servicio de administración de claves
Acciones definidas por AWS Servicio de administración de claves
Permission-only acciones para AWS Servicio de administración de claves
Tipos de recursos definidos por AWS Servicio de administración de claves
Claves de estado para AWS Servicio de administración de claves
Las operaciones de la API se definen mediante AWS Servicio de administración de claves
En la siguiente tabla, se asignan las operaciones de la API a las acciones de IAM que autorizan. Solo se muestran las claves de condición que tienen valores estáticos para la API y la acción determinadas; para ver el conjunto completo de claves de condición que admite cada acción, consulte la tabla de acciones.
| Operación | Acción de IAM | Clave de condición | Valores posibles | Nivel de acceso |
|---|---|---|---|---|
|
CancelKeyDeletion |
Escritura |
|||
|
ConnectCustomKeyStore |
Escritura |
|||
|
CreateAlias |
Escritura |
|||
|
CreateCustomKeyStore |
Escritura |
|||
|
CreateGrant |
Gestión de permisos, escritura |
|||
|
CreateKey |
Escritura |
|||
Gestión de permisos, escritura |
||||
Etiquetar, escribir |
||||
|
Descifrar |
Escritura |
|||
|
DeleteAlias |
Escritura |
|||
|
DeleteCustomKeyStore |
Escritura |
|||
|
DeleteImportedKeyMaterial |
Escritura |
|||
|
DeriveSharedSecret |
Escritura |
|||
|
DescribeCustomKeyStores |
Lectura |
|||
|
DescribeKey |
Lectura |
|||
|
DisableKey |
Escritura |
|||
|
DisableKeyRotation |
Escritura |
|||
|
DisconnectCustomKeyStore |
Escritura |
|||
|
EnableKey |
Escritura |
|||
|
EnableKeyRotation |
Escritura |
|||
|
Cifrar |
Escritura |
|||
|
GenerateDataKey |
Escritura |
|||
|
GenerateDataKeyPair |
Escritura |
|||
|
GenerateDataKeyPairWithoutPlaintext |
Escritura |
|||
|
GenerateDataKeyWithoutPlaintext |
Escritura |
|||
|
GenerateMac |
Escritura |
|||
|
GenerateRandom |
Escritura |
|||
|
GetKeyLastUsage |
Lectura |
|||
|
GetKeyPolicy |
Lectura |
|||
|
GetKeyRotationStatus |
Lectura |
|||
|
GetParametersForImport |
Lectura |
|||
|
GetPublicKey |
Lectura |
|||
|
ImportKeyMaterial |
Escritura |
|||
|
ListAliases |
Enumeración |
|||
|
ListGrants |
Enumeración |
|||
|
ListKeyPolicies |
Enumeración |
|||
|
ListKeyRotations |
Enumeración |
|||
|
ListKeys |
Enumeración |
|||
|
ListResourceTags |
Enumeración |
|||
|
ListRetirableGrants |
Enumeración |
|||
|
PutKeyPolicy |
Gestión de permisos, escritura |
|||
|
ReEncrypt |
Escritura |
|||
Escritura |
||||
|
ReplicateKey |
Escritura |
|||
|
RetireGrant |
Gestión de permisos, escritura |
|||
|
RevokeGrant |
Gestión de permisos, escritura |
|||
|
RotateKeyOnDemand |
Escritura |
|||
|
ScheduleKeyDeletion |
Escritura |
|||
|
Firmar |
Escritura |
|||
|
TagResource |
Etiquetar, escribir |
|||
|
UntagResource |
Etiquetar, escribir |
|||
|
UpdateAlias |
Escritura |
|||
|
UpdateCustomKeyStore |
Escritura |
|||
|
UpdateKeyDescription |
Escritura |
|||
|
UpdatePrimaryRegion |
Escritura |
|||
|
Verificar |
Escritura |
|||
|
VerifyMac |
Escritura |
Acciones definidas por AWS Servicio de administración de claves
Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.
Permission-only acciones para AWS Servicio de administración de claves
El Servicio de administración de AWS claves define las siguientes acciones, pero no se pueden invocar directamente mediante ninguna operación de API. Solo se pueden utilizar en las declaraciones de política de IAM para conceder o denegar permisos.
| Acciones | Description (Descripción) | Tipos de recursos (*necesarios) | Claves de condición | Nivel de acceso |
|---|---|---|---|---|
Controla el acceso a las API internas que sincronizan claves de varias regiones. |
Escritura |
Tipos de recursos definidos por AWS Servicio de administración de claves
Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM.
| Tipos de recurso | ARN | Claves de condición |
|---|---|---|
arn: $ {Partition} :kms: $ {Region} :$ {Account} :alias/$ {Alias} |
||
arn: $ {Partition} :kms: $ {Region} :$ {Account} :key/$ {} KeyId |
Claves de estado para AWS Servicio de administración de claves
AWS El servicio de administración de claves define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una política de IAM.
| Claves de condición | Descripción | Tipo |
|---|---|---|
Filtra el acceso a las operaciones de AWS KMS especificadas en función de la clave y el valor de la etiqueta de la solicitud |
Cadena |
|
Filtra el acceso a las operaciones de AWS KMS especificadas en función de las etiquetas asignadas a la clave de AWS KMS |
Cadena |
|
Filtra el acceso a las operaciones de AWS KMS especificadas en función de las claves de etiqueta de la solicitud |
ArrayOfString |
|
Filtra el acceso a PutKeyPolicy las operaciones CreateKey y en función del valor del BypassPolicyLockoutSafetyCheck parámetro de la solicitud |
Bool |
|
Filtra el acceso a determinadas operaciones de AWS KMS en función del Cuenta de AWS identificador de la persona que llama. Puede usar esta clave de condición para permitir o denegar el acceso a todos los usuarios y roles de IAM Cuenta de AWS en una declaración de política única |
Cadena |
|
La clave de CustomerMasterKeySpec condición kms: está obsoleta. En su lugar, utilice la clave de KeySpec condición kms: |
Cadena |
|
La clave de CustomerMasterKeyUsage condición kms: está obsoleta. En su lugar, utilice la clave de KeyUsage condición kms: |
Cadena |
|
Filtra el acceso GenerateDataKeyPair y GenerateDataKeyPairWithoutPlaintext las operaciones en función del valor del KeyPairSpec parámetro de la solicitud |
Cadena |
|
Filtra el acceso a las operaciones de cifrado en función del valor del algoritmo de cifrado de la solicitud. |
Cadena |
|
Filtra el acceso a una clave AWS KMS simétrica en función del contexto de cifrado de una operación criptográfica. Esta clave de condición evalúa la clave y el valor de cada par de valor de clave en el contexto de cifrado. |
Cadena |
|
Filtra el acceso a una clave AWS KMS simétrica en función del contexto de cifrado de una operación criptográfica. Esta clave de condición solo evalúa la clave de cada par de valor de clave en el contexto de cifrado. |
ArrayOfString |
|
Filtra el acceso a la ImportKeyMaterial operación en función del valor del ExpirationModel parámetro de la solicitud |
Cadena |
|
Filtra el acceso a la CreateGrant operación en función del valor de la SourceArn restricción de la solicitud |
ARN |
|
Filtra el acceso a la CreateGrant operación en función de la restricción de concesión de la solicitud |
Cadena |
|
Filtra el acceso a la CreateGrant operación cuando la solicitud proviene de un AWS servicio específico |
Bool |
|
Filtra el acceso a la CreateGrant operación en función de las operaciones de la concesión |
ArrayOfString |
|
Filtra el acceso a la CreateGrant operación en función del beneficiario principal de la subvención |
Cadena |
|
Filtra el acceso a la CreateGrant operación en función del valor de GranteeServicePrincipal la solicitud |
Cadena |
|
Filtra el acceso a la DeriveSharedSecret operación en función del valor del KeyAgreementAlgorithm parámetro de la solicitud |
Cadena |
|
Filtra el acceso a una operación de API en función de la propiedad Origin de la clave AWS KMS creada o utilizada en la operación. Se usa para calificar la autorización de la CreateKey operación o cualquier operación que esté autorizada para una clave de KMS |
Cadena |
|
Filtra el acceso a una operación de API en función de la KeySpec propiedad de la clave AWS KMS creada o utilizada en la operación. Úselo para calificar la autorización de la CreateKey operación o cualquier operación que esté autorizada para un recurso clave de KMS |
Cadena |
|
Filtra el acceso a una operación de API en función de la KeyUsage propiedad de la clave AWS KMS creada o utilizada en la operación. Utilícela para calificar la autorización de la CreateKey operación o cualquier operación que esté autorizada para un recurso clave de KMS |
Cadena |
|
Filtra el acceso a VerifyMac las operaciones GenerateMac y en función del MacAlgorithm parámetro de la solicitud |
Cadena |
|
Filtra el acceso a las operaciones de firma y verificación en función del valor del MessageType parámetro de la solicitud |
Cadena |
|
Filtra el acceso a una operación de API en función de la MultiRegion propiedad de la clave AWS KMS creada o utilizada en la operación. Utilícela para calificar la autorización de la CreateKey operación o cualquier operación que esté autorizada para un recurso clave de KMS |
Bool |
|
Filtra el acceso a una operación de API en función de la MultiRegionKeyType propiedad de la clave AWS KMS creada o utilizada en la operación. Utilícela para calificar la autorización de la CreateKey operación o cualquier operación que esté autorizada para un recurso clave de KMS |
Cadena |
|
Filtra el acceso a la UpdatePrimaryRegion operación en función del valor del PrimaryRegion parámetro de la solicitud |
Cadena |
|
Filtra el acceso a la ReEncrypt operación cuando usa la misma clave AWS KMS que se usó para la operación de cifrado |
Bool |
|
Filtra el acceso a las operaciones de la API en función del hash de imagen del documento de certificación de la solicitud. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 0 en el documento de certificación de la solicitud. El PCR0 es una medida contigua del código ejecutable del firmware del sistema principal. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 1 en el documento de certificación de la solicitud. El PCR1 es una medida contigua de la configuración de la data/host plataforma del firmware del sistema principal, que normalmente incluye los números de serie y modelo |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 10 en el documento de certificación de la solicitud. El PCR10 es una medida contigua de protección del registro de mediciones de IMA. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 11 en el documento de certificación de la solicitud. El PCR11 es una medida contigua de todos los componentes de las imágenes unificadas del kernel (UKI). |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 12 en el documento de certificación de la solicitud. El PCR12 es una medida contigua de la línea de comandos del kernel, las credenciales del sistema y las imágenes de configuración del sistema. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 13 en el documento de certificación de la solicitud. El PCR13 es una medida contigua de todas las imágenes de extensión del sistema para el initrd. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 14 en el documento de certificación de la solicitud. El PCR14 es una medida contigua de los certificados y hashes “MOK”. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 15 en el documento de certificación de la solicitud. El PCR15 es una medida contigua de la clave de cifrado del volumen del sistema de archivos raíz. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 16 en el documento de certificación de la solicitud. El PCR16 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 17 en el documento de certificación de la solicitud. El PCR17 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 18 en el documento de certificación de la solicitud. El PCR18 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 19 en el documento de certificación de la solicitud. El PCR19 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 2 en el documento de certificación de la solicitud. El PCR2 es una medida contigua del código ejecutable ampliado o conectable, que incluye las ROM opcionales en el hardware conectable. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 20 en el documento de certificación de la solicitud. El PCR20 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 21 en el documento de certificación de la solicitud. El PCR21 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 22 en el documento de certificación de la solicitud. El PCR22 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 23 en el documento de certificación de la solicitud. El PCR23 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 3 en el documento de certificación de la solicitud. El PCR3 es una medida contigua de los datos de firmware ampliados o conectables, que incluye información sobre el hardware conectable. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 4 en el documento de certificación de la solicitud. El PCR4 es una medida contigua del cargador de arranque y los controladores adicionales, que incluye los archivos binarios y las extensiones implementados por dicho cargador. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 5 en el documento de certificación de la solicitud. PCR5 es una medida contigua de la tabla GPT/Partition |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 6 en el documento de certificación de la solicitud. El PCR6 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 7 en el documento de certificación de la solicitud. PCR7 es una medida de estado contigua SecureBoot |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 8 en el documento de certificación de la solicitud. El PCR8 es una medida contigua de los comandos y la línea de comandos del kernel. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 9 en el documento de certificación de la solicitud. El PCR9 es una medida contigua de todos los archivos leídos (incluida la imagen del kernel). |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 0 en el documento de certificación de la solicitud. El PCR0 es una medida contigua del contenido del archivo de imagen del enclave, sin los datos de la sección. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 1 en el documento de certificación de la solicitud. El PCR1 es una medida contigua de los datos del kernel de Linux y de los datos de arranque. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 10 en el documento de certificación de la solicitud. El PCR10 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 11 en el documento de certificación de la solicitud. El PCR11 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 12 en el documento de certificación de la solicitud. El PCR12 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 13 en el documento de certificación de la solicitud. El PCR13 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 14 en el documento de certificación de la solicitud. El PCR14 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 15 en el documento de certificación de la solicitud. El PCR15 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 16 en el documento de certificación de la solicitud. El PCR16 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 17 en el documento de certificación de la solicitud. El PCR17 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 18 en el documento de certificación de la solicitud. El PCR18 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 19 en el documento de certificación de la solicitud. El PCR19 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 2 en el documento de certificación de la solicitud. El PCR2 es una medición contigua y secuencial de las aplicaciones del usuario, sin RAMFS de arranque. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 20 en el documento de certificación de la solicitud. El PCR20 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 21 en el documento de certificación de la solicitud. El PCR21 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 22 en el documento de certificación de la solicitud. El PCR22 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 23 en el documento de certificación de la solicitud. El PCR23 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 24 en el documento de certificación de la solicitud. El PCR24 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 25 en el documento de certificación de la solicitud. El PCR25 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 26 en el documento de certificación de la solicitud. El PCR26 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 27 en el documento de certificación de la solicitud. El PCR27 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 28 en el documento de certificación de la solicitud. El PCR28 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 29 en el documento de certificación de la solicitud. El PCR29 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 3 en el documento de certificación de la solicitud. El PCR3 es una medida contigua del rol de IAM asignada a la instancia principal. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 30 en el documento de certificación de la solicitud. El PCR30 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 31 en el documento de certificación de la solicitud. El PCR31 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 4 en el documento de certificación de la solicitud. El PCR4 es una medida contigua del ID de la instancia principal. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 5 en el documento de certificación de la solicitud. El PCR5 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 6 en el documento de certificación de la solicitud. El PCR6 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 7 en el documento de certificación de la solicitud. El PCR7 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 8 en el documento de certificación de la solicitud. El PCR8 es una medida del certificado de firma especificado para el archivo de imagen del enclave. |
Cadena |
|
Filtra el acceso por el registro de configuración de plataforma (PCR) 9 en el documento de certificación de la solicitud. El PCR9 es un PCR personalizado que el usuario puede definir para casos de uso específicos. |
Cadena |
|
Filtra el acceso a la ReplicateKey operación en función del valor del ReplicaRegion parámetro de la solicitud |
Cadena |
|
Filtra el acceso a las operaciones criptográficas y DescribeKey, en GetPublicKey función del alias de la solicitud |
Cadena |
|
Filtra el acceso a operaciones de AWS KMS específicas en función de los alias asociados a la clave de AWS KMS |
ArrayOfString |
|
Filtra el acceso a la CreateGrant operación en función del principal de la subvención que se jubila |
Cadena |
|
Filtra el acceso a la CreateGrant operación en función del valor de RetiringServicePrincipal la solicitud |
Cadena |
|
Filtra el acceso a la EnableKeyRotation operación en función del valor del RotationPeriodInDays parámetro de la solicitud |
Numérico |
|
Filtra el acceso a la ScheduleKeyDeletion operación en función del valor del PendingWindowInDays parámetro de la solicitud |
Numérico |
|
Filtra el acceso a las operaciones Sign y Verify en función del algoritmo de firma de la solicitud |
Cadena |
|
Filtra el acceso a las DisableKey operaciones ScheduleKeyDeletion y en función del número de días transcurridos desde la última vez que se utilizó la clave AWS KMS |
Numérico |
|
Filtra el acceso a la ImportKeyMaterial operación en función del valor del ValidTo parámetro de la solicitud. Puede utilizar esta clave de condición para permitir a los usuarios importar el material de claves solo cuando se alcance la fecha de expiración especificada. |
Date |
|
Filtra el acceso cuando una solicitud realizada en nombre del principal proviene de un AWS servicio específico |
Cadena |
|
Filtra el acceso a la GetParametersForImport operación en función del valor del WrappingAlgorithm parámetro de la solicitud |
Cadena |
|
Filtra el acceso a la GetParametersForImport operación en función del valor del WrappingKeySpec parámetro de la solicitud |
Cadena |
