Subventions en AWS KMS

Condition qui limite les autorisations d'une subvention. AWS KMS prend en charge deux types de contraintes liées aux subventions :

Pour en savoir plus, consultez Utilisation des contraintes d'octroi.

Identifiant unique d'un octroi pour une clé KMS. Vous pouvez utiliser un identifiant de subvention, ainsi qu'un identifiant clé, pour identifier une subvention dans une RevokeGrant demande RetireGrant ou.

Les AWS KMS opérations que vous pouvez autoriser dans le cadre d'une subvention. Si vous spécifiez d'autres opérations, la CreateGrant demande échoue à une ValidationError exception près. Ce sont aussi les opérations qui acceptent un jeton d'octroi. Pour de plus amples informations sur ces autorisations, veuillez consulter la AWS KMS des autorisations.

Ces opérations d'octroi représentent effectivement l'autorisation d'utiliser l'opération. Par conséquent, pour l'opération ReEncrypt, vous pouvez spécifier ReEncryptFrom, ReEncryptTo ou les deux ReEncrypt*.

Les opérations d'octroi sont les suivantes :

Les opérations d'octroi que vous autorisez doivent être prises en charge par la clé KMS de l'octroi. Si vous spécifiez une opération non prise en charge, la CreateGrant demande échoue avec une ValidationError exception. Par exemple, les octrois pour les clés KMS de chiffrement symétrique ne peuvent pas autoriser les opérations Sign (Signer), Verify (Vérifier), GenerateMac ou VerifyMac. Les octrois pour les clés KMS asymétriques ne peuvent autoriser aucune opération générant des clés de données ou des paires de clés de données.

L' AWS KMS API suit un éventuel modèle de cohérence. Lorsque vous créez un octroi, il se peut qu'il y ait un bref délai avant que le changement ne soit disponible via AWS KMS. La propagation de la modification dans l'ensemble du système prend généralement moins de quelques secondes, mais dans certains cas, cela peut prendre plusieurs minutes. Si vous essayez d'utiliser un octroi avant d'être propagé complètement sur le système, vous pouvez obtenir un message d'accès refusé. Un jeton d'octroi vous permet de faire référence à l'octroi et d'utiliser les autorisations d'octroi immédiatement.

Un jeton d'octroi est une chaîne unique, non secrète, de longueur variable et codée en base64 qui représente un octroi. Vous pouvez utiliser le jeton d'octroi pour identifier l'octroi dans n'importe quelle opération d'octroi. Cependant, comme la valeur du jeton est un résumé de hachage, elle ne révèle aucun détail sur l'octroi.

Un jeton d'octroi est conçu pour être utilisé uniquement jusqu'à ce qu'il se propage complètement sur AWS KMS. Après cela, le principal bénéficiaire peut utiliser l'autorisation dans l'octroi sans fournir de jeton d'octroi ou toute autre preuve de l'octroi. Vous pouvez utiliser un jeton d'autorisation à tout moment, mais une fois que l'autorisation est finalement cohérente, utilisez AWS KMS l'autorisation pour déterminer les autorisations, et non le jeton d'autorisation.

Par exemple, la commande suivante appelle l'GenerateDataKeyopération. Elle utilise un jeton d'octroi pour représenter l'octroi qui donne à l'appelant (le principal bénéficiaire) l'autorisation d'appeler GenerateDataKey sur la clé KMS spécifiée.

$ aws kms generate-data-key \
        --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
        --key-spec AES_256 \
        --grant-token $token

Vous pouvez également utiliser le jeton d'octroi pour identifier un octroi dans les opérations qui gèrent les octrois. Par exemple, le principal sortant peut utiliser un jeton d'octroi lors d'un appel à l'RetireGrantopération.

$ aws kms retire-grant \
        --grant-token $token

CreateGrant est la seule opération qui renvoie un jeton d'octroi. Vous ne pouvez pas obtenir de jeton d'autorisation à partir d'aucune autre AWS KMS opération ou de l'événement de CloudTrail journal correspondant à l' CreateGrant opération. Les ListRetirableGrants opérations ListGrants et renvoient l'ID d'autorisation, mais pas un jeton d'autorisation.

Pour en savoir plus, consultez Utilisation d'un jeton d'octroi.

Un AWS principal (identité IAM) qui obtient les autorisations spécifiées dans la subvention.

Le principal bénéficiaire peut être n'importe quel AWS principal, y compris un Compte AWS (root), un utilisateur IAM, un rôle IAM, un rôle ou un utilisateur fédéré, ou un utilisateur ayant un rôle assumé. Le principal bénéficiaire peut se trouver dans le même compte que la clé KMS ou un autre compte. Toutefois, le principal bénéficiaire ne peut pas être un principal de service, un groupe IAM ou une organisation AWS.

Pour spécifier le principal bénéficiaire, utilisez le GranteePrincipal paramètre de la CreateGrant demande.

Un principal AWS de service qui obtient les autorisations spécifiées dans la subvention. Pour spécifier le principal de service du bénéficiaire, utilisez le GranteeServicePrincipal paramètre de la CreateGrant demande.

Lorsque vous créez une subvention avec unGranteeServicePrincipal, vous devez également inclure un SourceArn grant constraint. La SourceArn contrainte garantit que le principal de service ne peut utiliser la clé KMS que lorsque la demande est faite pour le compte de la AWS ressource spécifiée.

Lorsque vous spécifiez aGranteeServicePrincipal, vous devez également spécifier a RetiringPrincipal ou RetiringServicePrincipal a.

Résilie un octroi. Vous retirez un octroi lorsque vous avez terminé d'utiliser les autorisations.

La révocation et le retrait d'un octroi suppriment l'octroi. Toutefois, le retrait est effectué par un principal spécifié dans l'octroi. La révocation est généralement effectuée par un administrateur de clé. Pour en savoir plus, consultez Retrait et révocation d'octrois.

Un principal qui peut retirer un octroi. Vous pouvez spécifier un principal de retrait dans un octroi, mais ce n'est pas obligatoire. Le principal sortant peut être n'importe quel AWS responsable, y compris des utilisateurs IAM Comptes AWS, des rôles IAM, des utilisateurs fédérés et des utilisateurs ayant un rôle assumé. Le principal de retrait peut se trouver dans le même compte que la clé KMS ou un autre compte.

Pour spécifier le principal sortant, utilisez le RetiringPrincipal paramètre de la CreateGrant demande.

Un directeur de AWS service autorisé à retirer une subvention. Pour spécifier le principal de service sortant, utilisez le RetiringServicePrincipal paramètre de la CreateGrant demande.

Résilie un octroi. Vous révoquez un octroi pour refuser activement les autorisations que l'octroi autorise.

La révocation et le retrait d'un octroi suppriment l'octroi. Toutefois, le retrait est effectué par un principal spécifié dans l'octroi. La révocation est généralement effectuée par un administrateur de clé. Pour en savoir plus, consultez Retrait et révocation d'octrois.

L' AWS KMS API suit un éventuel modèle de cohérence. Lorsque vous créez, retirez ou révoquez un octroi, il se peut qu'il y ait un bref délai avant que le changement ne soit disponible via AWS KMS. La propagation de la modification dans l'ensemble du système prend généralement moins de quelques secondes, mais dans certains cas, cela peut prendre plusieurs minutes.

Vous pouvez prendre connaissance de ce bref délai si vous obtenez des erreurs inattendues. Par exemple, si vous essayez de gérer une nouvelle autorisation ou d'utiliser les autorisations d'une nouvelle autorisation avant que celle-ci ne soit totalement connue AWS KMS, vous risquez de recevoir une erreur d'accès refusé. Si vous retirez ou révoquez un octroi, le principal bénéficiaire peut toujours utiliser ses autorisations pendant une courte période jusqu'à ce que l'octroi soit complètement supprimé. La stratégie typique consiste à réessayer la demande, et certains AWS SDK incluent une logique d'annulation automatique et de nouvelle tentative.

AWS KMS possède des fonctionnalités permettant d'atténuer ce bref délai.

Pour plus d'informations, consultez la rubrique relative à la cohérence à terme AWS KMS.