Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat kunci yang dikelola pelanggan

Anda dapat membuat kunci yang dikelola pelanggan simetris dengan menggunakan Konsol Manajemen AWS, atau AWS KMS API. Untuk membuat kunci yang dikelola pelanggan simetris, ikuti langkah-langkah untuk Membuat kunci yang dikelola pelanggan simetris di Panduan Peng AWS Key Management Service embang.

Kebijakan utama mengontrol akses ke kunci yang dikelola pelanggan Anda. Setiap kunci yang dikelola pelanggan harus memiliki tepat satu kebijakan kunci, yang berisi pernyataan yang menentukan siapa yang dapat menggunakan kunci dan bagaimana mereka dapat menggunakannya. Saat membuat kunci yang dikelola pelanggan, Anda dapat menentukan kebijakan kunci. Untuk informasi selengkapnya, lihat Mengelola akses ke kunci yang dikelola pelanggan di Panduan AWS Key Management Service Pengembang.

AWS KMS kebijakan utama untuk AWS HealthScribe

Jika Anda menggunakan kunci di akun yang sama dengan IAM peran yang Anda tentukan DataAccessRole dalam StartMedicalScribeJob atau ResourceAccessRole dalam StartMedicalScribeStream permintaan Anda, Anda tidak perlu memperbarui Kebijakan Kunci. Untuk menggunakan kunci yang dikelola pelanggan Anda di akun lain sebagai DataAccessRole (untuk pekerjaan transkripsi) atau ResourceAccessRole (untuk streaming), Anda harus mempercayai peran masing-masing dalam Kebijakan Utama untuk tindakan berikut:

Berikut ini adalah contoh kebijakan kunci yang dapat Anda gunakan untuk memberikan izin ResourceAccessRole lintas akun Anda untuk menggunakan kunci yang dikelola pelanggan Anda untuk AWS HealthScribe streaming. Untuk menggunakan kebijakan ini untuk pekerjaan transkripsi, perbarui Principal agar menggunakan DataAccessRole ARN, dan hapus atau ubah konteks enkripsi.

JSON

{
   "Version":"2012-10-17",
   "Statement":[
      {  
         "Sid": "AllowAccessForKeyAdministrators", 
         "Effect": "Allow", 
         "Principal": {
            "AWS": "arn:aws:iam::111122223333:root" 
         }, 
         "Action": [
           "kms:*" 
         ], 
         "Resource": "*"
      },
      {
         "Sid": "AllowAccessToResourceAccessRoleForMedicalScribe",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/ResourceAccessRole"
         },
         "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:GenerateDataKey*"
         ],
         "Resource": "*",
         "Condition": {
            "StringEquals": {
                "kms:EncryptionContext:aws:us-east-1:transcribe:medical-scribe:session-id": "1234abcd-12ab-34cd-56ef-123456SAMPLE"
            }
         }
      },
      {
         "Sid": "AllowAccessToResourceAccessRoleForDescribeKey",
         "Effect": "Allow",
         "Principal": {
             "AWS": "arn:aws:iam::111122223333:role/ResourceAccessRole"
         },
         "Action": "kms:DescribeKey",
         "Resource": "*"
     }
   ]
}

Izin kebijakan IAM untuk peran akses

Kebijakan IAM yang dilampirkan pada DataAccessRole atau ResourceAccessRole harus memberikan izin untuk melakukan AWS KMS tindakan yang diperlukan, terlepas dari apakah kunci dan peran yang dikelola pelanggan berada di akun yang sama atau berbeda. Selain itu, kebijakan kepercayaan peran harus memberikan AWS HealthScribe izin untuk mengambil peran tersebut.

Contoh kebijakan IAM berikut menunjukkan cara memberikan ResourceAccessRole izin untuk AWS HealthScribe streaming. Untuk menggunakan kebijakan ini untuk pekerjaan transkripsi, hapus atau ubah konteks enkripsi. Nilai kms:ViaService kondisinya sama untuk pekerjaan streaming dan transkripsi.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey*"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/KMS-Example-KeyId",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "transcribe.us-west-2.amazonaws.com",
                    "kms:EncryptionContext:aws:us-east-1:transcribe:medical-scribe:session-id": "1234abcd-12ab-34cd-56ef-123456SAMPLE"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/KMS-Example-KeyId",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "transcribe.us-west-2.amazonaws.com"
                }
            }
        }
    ]
}

Berikut ini adalah contoh kebijakan kepercayaan untuk ResourceAccessRole. Untuk DataAccessRole, ganti transcribe.streaming.amazonaws.com dengantranscribe.amazonaws.com.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "transcribe.streaming.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya tentang menentukan izin dalam kebijakan atau pem ecahan masalah akses kunci, lihat Panduan Peng AWS Key Management Service embang.