Menggunakan token izin

AWS KMS API mengikuti model konsistensi akhirnya. Saat Anda membuat pemberian izin, mungkin tidak langsung efektif. Mungkin ada penundaan singkat sebelum perubahan tersedia secara keseluruhan AWS KMS. Biasanya diperlukan waktu kurang dari beberapa detik agar perubahan menyebar ke seluruh sistem, tetapi dalam beberapa kasus dapat memakan waktu beberapa menit. Setelah perubahan sepenuhnya menyebar ke seluruh sistem, prinsipal penerima hibah dapat menggunakan izin dalam hibah tanpa menentukan token hibah atau bukti hibah apa pun. Namun, jika hibah yang begitu baru sehingga belum diketahui semua orang AWS KMS, permintaan mungkin gagal dengan AccessDeniedException kesalahan.

Untuk segera menggunakan izin dalam pemberian izin baru, gunakan token izin untuk pemberian izin. Simpan token hibah yang dikem CreateGrant balikan oleh operasi. Kemudian kirimkan token hibah dalam permintaan untuk AWS KMS operasi. Anda dapat mengirimkan token hibah ke operasi AWS KMS hibah apa pun dan Anda dapat mengirimkan beberapa token hibah dalam permintaan yang sama.

Contoh berikut menggunakan CreateGrant operasi untuk membuat hibah yang memungkinkan operasi GenerateDataKey dan Dek ripsi. Operasi tersebut menyimpan token izin yang menampilkan CreateGrant dalam variabel token. Kemudian, dalam panggilan ke operasi GenerateDataKey, ini menggunakan token izin di variabel token.

# Create a grant; save the grant token 
$ token=$(aws kms create-grant \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --grantee-principal arn:aws:iam::111122223333:user/appUser \
    --retiring-principal arn:aws:iam::111122223333:user/acctAdmin \
    --operations GenerateDataKey Decrypt \
    --query GrantToken \
    --output text)

# Use the grant token in a request
$ aws kms generate-data-key \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    –-key-spec AES_256 \
    --grant-tokens $token

Kepala sekolah dengan izin juga dapat menggunakan token hibah untuk menghentikan hibah baru bahkan sebelum hibah tersedia secara keseluruhan. AWS KMS(Operasi RevokeGrant tidak menerima token izin.) Untuk detail selengkapnya, lihat Menghentikan dan mencabut pemberian izin.

# Retire the grant
$ aws kms retire-grant --grant-token $token