キーポリシーを確認する

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:root"},
  "Action": "kms:*",
  "Resource": "*"
}

ポリシーステートメント 1 では、arn:aws:iam::111122223333:root は、AWS アカウント 111122223333 を参照する AWS プリンシパルアカウントです (アカウントのルートユーザーではありません)。デフォルトでは、このようなポリシーステートメントは、AWS マネジメントコンソール で新しい KMS キーを作成するときや、新しい KMS キーをプログラムで作成してもキーポリシーを提供しないときに、キーポリシードキュメントに含まれます。

AWS アカウント へのアクセスを許可するステートメントを持つキーポリシードキュメントでは、アカウントの IAM ポリシーで KMS キーへのアクセスが有効化されます。つまり、アカウントのユーザーとロールは、キーポリシードキュメントにプリンシパルとして明示的にリストされていない場合でも、KMS キーにアクセスできる可能性があります。プリンシパルとしてリストされているすべての AWS アカウント のすべての IAM ポリシーを調べて、この KMS キーへのアクセスを許可しているかどうかを判断します。

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/KMSKeyAdmins"},
  "Action": [
    "kms:Describe*",
    "kms:Put*",
    "kms:Create*",
    "kms:Update*",
    "kms:Enable*",
    "kms:Revoke*",
    "kms:List*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": "*"
}

ポリシーステートメント 2 で、arn:aws:iam::111122223333:role/KMSKeyAdmins は AWS アカウント の 111122223333 の KMSKeyAdmins という名前の IAM ロールを参照します。このロールを引き受ける権限を持つユーザーは、KMS キーを管理するための管理アクションである、ポリシーステートメントにリストされたアクションを実行できます。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/EncryptionApp"},
  "Action": [
    "kms:DescribeKey",
    "kms:GenerateDataKey*",
    "kms:Encrypt",
    "kms:ReEncrypt*",
    "kms:Decrypt"
  ],
  "Resource": "*"
}

ポリシーステートメント 3 で、arn:aws:iam::111122223333:role/EncryptionApp は AWS アカウント の111122223333 の EncryptionApp という名前の IAM ロールを参照します。このロールを引き受ける権限を持つプリンシパルは、対称暗号化 KMS キーの暗号化オペレーションを含む、ポリシーステートメントにリストされたアクションを実行できます。

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/EncryptionApp"},
  "Action": [
    "kms:ListGrants",
    "kms:CreateGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

ポリシーステートメント 4 で、arn:aws:iam::111122223333:role/EncryptionApp は AWS アカウント の111122223333 の EncryptionApp という名前の IAM ロールを参照します。このロールを引き受ける権限を持つプリンシパルは、ポリシーステートメントにリストされたアクションを実行できます。これらのアクションは、ポリシーステートメント 3 の例で許可されたアクションと連動する際に、KMS キーの使用を、AWS KMS と統合されたほとんどの AWS のサービス (特に、権限を使用するサービス) に委任するために必要なアクションになります。Condition 要素内の kms:GrantIsForAWSResource の値により、AWS KMS と統合され、認可にグラントを使用する AWS サービスが委任対象である場合にのみ、そのような委任を許可します。