デフォルトのキーポリシー

AWS KMS API を使用して KMS キーをプログラム (AWS SDK、AWS Command Line Interface、または AWS Tools for PowerShell の使用を含む) で作成し、キーポリシーを指定しなかった場合、AWS KMS は非常にシンプルなデフォルトキーポリシーを適用します。このデフォルトのキーポリシーには、KMS キー許可を有する AWS アカウント に対して、IAM ポリシーを使用して KMS キー上のすべての AWS KMS オペレーションに対するアクセスを許可する権限を付与するポリシーステートメントが 1 つ含まれます。このポリシーステートメントの詳細については、「AWS アカウント へのアクセスを許可し、IAM ポリシーを有効にする」を参照してください。

AWS マネジメントコンソール を使用して KMS キーを作成した場合、キーポリシーは、AWS アカウント へのアクセスを許可し、IAM ポリシーを有効にするポリシーステートメントで始まります。次に、コンソールはキー管理者ステートメント、キーユーザーステートメント、および (ほとんどのキータイプで) プリンシパルに他の AWS サービスで KMS キーを使用する許可を与えるステートメントを追加します。AWS KMS コンソールの機能を使用して IAM ユーザー、IAM ロール、AWS アカウント (キー管理者、キーユーザー、またはその両方) を指定できます。

上記のキーポリシーステートメントは、キーの許可を有する AWS アカウント に IAM ポリシーとキーポリシーを使用して、KMS キーに対するすべてのアクション (kms:*) を許可する権限を付与しています。

このキーポリシーステートメントのプリンシパルはアカウントプリンシパルであり、これはこの形式にある ARN で表されています: arn:aws:iam::account-id:root。アカウントプリンシパルは、AWS アカウントとその管理者を表します。

キーポリシーステートメントのプリンシパルがアカウントプリンシパルである場合、ポリシーステートメントはどの IAM プリンシパルに対しても、KMS キーを使用する許可を付与しません。代わりにアカウントに IAM ポリシーを使用して、ポリシーステートメントで指定された許可を委譲することができます。このデフォルトのキーポリシーステートメントにより、アカウントは IAM ポリシーを使用して、KMS キーに対するすべてのアクション (kms:*) の許可を委譲することができます。

他の AWS リソースポリシーとは異なり、AWS KMS キーポリシーは、アカウントまたはそのプリンシパルに対して許可を自動的に付与しません。プリンシパルに許可を与えるには (アカウントプリンシパルを含む)、許可を明示的に提供するキーポリシーステートメントを使用する必要があります。アカウントプリンシパルまたはプリンシパルに、KMS キーへのアクセス権を付与する必要はありません。ただし、アカウントプリンシパルにアクセス権を付与することは、キーが管理不能になるのを防ぐために役立ちます。

たとえば、KMS キーへのアクセスを 1 人のユーザーだけに付与するキーポリシーを作成したとします。その後、そのユーザーを削除すると、キーは管理不能になり、KMS キーへのアクセスを取り戻すためにAWS サポートに連絡しなければなりません。

上記のキーポリシーステートメントは、キーを制御するアクセス許可をアカウントプリンシパルに付与します。アカウントプリンシパルは、AWS アカウント アカウントとその管理者 (アカウントルートユーザーを含む) を表します。アカウントのルートユーザーは、AWS アカウント を削除しない限り削除できない唯一のプリンシパルです。IAM のベストプラクティスでは、緊急時を除き、アカウントのルートユーザーの代わりとして行動することを推奨していません。ただし、KMS キーへのアクセス権を持つ他のすべてのユーザーおよびロールを削除した場合には、アカウントのルートユーザーとして行動する必要が生じる場合があります。

kms:CreateAlias および kms:CreateGrant を許可します。(kms:CreateKey のアクセス許可は IAM ポリシーでのみ有効です)

kms:DescribeKey を許可します。– AWS マネジメントコンソール で KMS キーのキーの詳細ページを表示するには、kms:DescribeKey のアクセス許可が必要です。

kms:EnableKey を許可します。対称暗号化 KMS キーについては、kms:EnableKeyRotation も許可します。

kms:ListGrants、kms:ListKeyPolicies、および kms:ListResourceTags を許可します。(KMS キーを AWS マネジメントコンソール で表示するのに必要な kms:ListAliases および kms:ListKeys のアクセス許可は、IAM ポリシーでのみ有効です)

kms:PutKeyPolicy を許可します。このアクセス許可により、キー管理者が、この KMS キーのキーポリシーを変更できるようになります。

kms:UpdateAlias および kms:UpdateKeyDescription を許可します。マルチリージョンキーの場合、この KMS キーで kms:UpdatePrimaryRegion が許可されます。

kms:RevokeGrant を許可します。これにより、キー管理者は自分がグラントの廃止するプリンシパルでなくてもグラントを削除することができます。

を許可します。。kms:DisableKey対称暗号化 KMS キーについては、kms:DisableKeyRotation も許可します。

kms:GetKeyPolicy および kms:GetKeyRotationStatus を許可します。インポートしたキーマテリアルを含む KMS キーの場合、kms:GetParametersForImport を許可します。非対称 KMS キーの場合、kms:GetPublicKey を許可します。AWS マネジメントコンソール で KMS キーのキーポリシーを表示するには、kms:GetKeyPolicy のアクセス許可が必要です。

を許可します。。kms:DeleteAliasインポートしたキーマテリアルを含むキーの場合、kms:DeleteImportedKeyMaterial を許可します。kms:Delete* のアクセス許可では、キー管理者が KMS キー (ScheduleKeyDeletion) を削除できません。

kms:TagResource を許可します。これにより、キー管理者は KMS キーにタグを追加できるようになります。タグは KMS キーへのアクセス制御にも使用できるため、このアクセス許可により、管理者が KMS キーへのアクセスを許可または拒否できるようになります。詳細については、「AWS KMS の ABAC」を参照してください。

kms:UntagResource を許可します。これにより、キー管理者は KMS キーからタグを削除できるようになります。タグはキーへのアクセス制御に使用できるため、このアクセス許可により、管理者は KMS キーへのアクセスを許可または拒否できるようになります。詳細については、「AWS KMS の ABAC」を参照してください。

kms:ScheduleKeyDeletion を許可します。これにより、キー管理者はこの KMS キーを削除できるようになります。このアクセス許可を削除するには、[Allow key administrators to delete this key] (キーの管理者がこのキーを削除できるようにします) オプションをオフにします。

kms:CancelKeyDeletion を許可します。これにより、キー管理者はこの KMS キーの削除をキャンセルできるようになります。このアクセス許可を削除するには、[Allow key administrators to delete this key] (キーの管理者がこのキーを削除できるようにします) オプションをオフにします。

kms:RotateKeyOnDemand を許可します。これによりキー管理者は、この KMS キーのキーマテリアルのオンデマンドローテーションを実行できます。

kms:ImportKeyMaterial のアクセス許可により、キー管理者が KMS キーにキーマテリアルをインポートできるようになります。このアクセス許可は、キーマテリアルのない KMS キーを作成する場合にのみキーポリシーに含まれます。

kms:ReplicateKey のアクセス許可により、キー管理者が、異なる AWS リージョンでマルチリージョンプライマリキーのレプリカを作成できるようになります。このアクセス許可は、マルチリージョンプライマリキーまたはマルチリージョンレプリカキーを作成する場合にのみ、キーポリシーに含まれます。

kms:UpdatePrimaryRegion のアクセス許可により、キー管理者が、マルチリージョンレプリカキーをマルチリージョンプライマリキーに変更できるようになります。このアクセス許可は、マルチリージョンプライマリキーまたはマルチリージョンレプリカキーを作成する場合にのみ、キーポリシーに含まれます。

コンソールは、対称暗号化 KMS キーのキーポリシーに以下のステートメントを追加します。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",  
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:GenerateDataKey*",
    "kms:ReEncrypt*"
  ],
  "Resource": "*"
}

コンソールは、HMAC KMS キーのキーポリシーに以下のステートメントを追加します。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",  
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:DescribeKey",
    "kms:GenerateMac",
    "kms:VerifyMac"
  ],
  "Resource": "*"
}

コンソールでは、暗号化と復号のキーを使用して、非対称 KMS キーのキーポリシーに次のステートメントを追加します。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:GetPublicKey"
  ],
  "Resource": "*"
}

コンソールは、署名と検証のキーを使用して、非対称 KMS キーのキーポリシーに次のステートメントを追加します。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:DescribeKey",
    "kms:GetPublicKey",
    "kms:Sign",
    "kms:Verify"
  ],
  "Resource": "*"
}

コンソールでは、[キーアグリーメント] のキーを使用して、非対称 KMS キーのキーポリシーに次のステートメントを追加します。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:DescribeKey",
    "kms:GetPublicKey",
    "kms:DeriveSharedSecret"
  ],
  "Resource": "*"
}

キーユーザーがこの KMS キーでデータを暗号化できるようにします。

キーユーザーがこの KMS キーでデータを復号できるようにします。

キーユーザーがこの KMS キーを使用して共有シークレットを取得できるようにします。

この KMS キーに関する詳細情報 (その識別子、作成日、キーステータスなど) を、キーユーザーが取得できるようにします。キーユーザーは KMS キーの詳細を AWS KMS コンソールに表示することもできます。

クライアント側の暗号化オペレーションのために、対称データキーまたは非対称データキーペアをキーユーザーがリクエストできるようにします。コンソールは * ワイルドカード文字を使用して、次の API オペレーションの権限を表します: GenerateDataKey、GenerateDataKeyWithoutPlaintext、GenerateDataKeyPair、GenerateDataKeyPairWithoutPlaintext。これらのアクセス許可は、データキーを暗号化する対称 KMS キーでのみ有効です。

キーユーザーが HMAC KMS キーを使用して HMAC タグを生成できるようにします。

非対称 KMS キーのパブリックキーをキーユーザーがダウンロードできるようにします。このパブリックキーを共有する当事者は、AWS KMS の外部のデータを暗号化できます。ただし、これらの暗号テキストは、AWS KMS で Decrypt オペレーションを呼び出すことによってのみ復号できます。

この KMS キーで最初に暗号化されたデータの再暗号化、またはこの KMS キーを使用して以前に暗号化されたデータの再暗号化をキーユーザーが行えるようにします。ReEncrypt オペレーションでは、ソースおよび送信先 KMS キーの両方にアクセスする必要があります。これを行うには、ソース KMS キーの kms:ReEncryptFrom アクセス許可と宛先 KMS キーの kms:ReEncryptTo アクセス許可を許可します。ただし、わかりやすいようにコンソールでは、両方の KMS キーで kms:ReEncrypt* を (* をワイルドカード文字で) 許可します。

この KMS キーでメッセージにキーユーザーが署名できるようにします。

この KMS キーで署名をキーユーザーが検証できるようにします。

キーユーザーが HMAC KMS キーを使用して HMAC タグを検証できるようにします。