AWS KMS アクセス権限
この表は、AWS KMS 許可を理解して AWS KMS リソースへのアクセスを管理できるようにすることを目的としたものです。列見出しの定義は、表の下に表示されます。
AWS KMS 許可については、サービス認可リファレンスにある AWS Key Management Service のアクション、リソース、条件キートピックでも説明しています。ただし、このトピックには、各許可の絞り込みに使用できる条件キーがすべて一覧表示されているわけではありません。
対称暗号化 KMS キー、非対称 KMS キー、および HMAC KMS キーの有効なAWS KMSオペレーションの詳細については、「キータイプリファレンス」を参照してください。
注記
テーブル内のすべてのデータを表示するには、水平または垂直にスクロールする必要があります。
| アクションおよびアクセス許可 | ポリシータイプ | クロスアカウントの使用 | リソース (IAM ポリシー用) | AWS KMS 条件キー |
|---|---|---|---|---|
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
| ConnectCustomKeyStore
|
IAM ポリシー | なし |
|
|
|
このオペレーションを使用するには、発信者には 2 つのリソースでの
詳細については、「エイリアスへのアクセスの制御」を参照してください。 |
IAM ポリシー (エイリアス用) |
なし |
エイリアス |
なし (エイリアスへのアクセスを制御する場合) |
|
キーポリシー (KMS キー用) |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
| CreateCustomKeyStore
|
IAM ポリシー | なし |
|
|
|
|
キーポリシー |
あり |
KMS キー |
暗号化コンテキスト条件: kms:EncryptionContext: context-key 権限条件: KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
IAM ポリシー |
なし |
|
kms:BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (AWS グローバル条件キー) aws:ResourceTag/tag-key (AWS グローバル条件キー) aws:TagKeys (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー |
暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
このオペレーションを使用するには、発信者には 2 つのリソースでの
詳細については、「エイリアスへのアクセスの制御」を参照してください。 |
IAM ポリシー (エイリアス用) |
なし |
エイリアス |
なし (エイリアスへのアクセスを制御する場合) |
|
キーポリシー (KMS キー用) |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
| DeleteCustomKeyStore
|
IAM ポリシー | なし |
|
|
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
| DeriveSharedSecret
|
キーポリシー | あり | KMS キー | KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) 暗号化オペレーションの条件: |
| DescribeCustomKeyStores
|
IAM ポリシー | なし |
|
|
|
|
キーポリシー |
あり |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
| DisconnectCustomKeyStore
|
IAM ポリシー | なし |
|
|
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) 自動キーローテーション条件: |
|
|
キーポリシー |
あり |
KMS キー |
暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー |
暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー 対称暗号化 KMS キーによって保護される非対称データキーペアを生成します。 |
データキーペアの条件: 暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
GenerateDataKeyPairWithoutPlaintext
|
キーポリシー |
あり |
KMS キー 対称暗号化 KMS キーによって保護される非対称データキーペアを生成します。 |
データキーペアの条件: 暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
GenerateDataKeyWithoutPlaintext
|
キーポリシー |
あり |
KMS キー |
暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
| GenerateMac
|
キーポリシー | あり | KMS キー | KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) 暗号化オペレーションの条件: |
|
|
IAM ポリシー |
該当なし |
|
なし |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: kms:ExpirationModel |
|
|
IAM ポリシー |
なし |
|
なし |
|
|
キーポリシー |
あり |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
IAM ポリシー |
なし |
|
なし |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
IAM ポリシー |
指定されたプリンシパルがローカルアカウントにある必要があります。オペレーションはすべてのアカウントで権限を返します。 |
|
なし |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
このオペレーションを使用するには、発信者に 2 つの KMS キーでのアクセス許可が必要です。
|
キーポリシー |
あり |
KMS キー |
暗号化オペレーションの条件 暗号化コンテキスト条件: kms:EncryptionContext: context-key KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
このオペレーションを使用するには、発信者に次のアクセス許可が必要です。
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
権限を使用停止にするアクセス許可は、主に権限によって決定されます。ポリシーだけでは、このオペレーションへのアクセスを許可することはできません。詳細については、「グラントの使用停止と取り消し」を参照してください。 |
IAM ポリシー (このアクセス許可はキーポリシーでは無効です)。 |
あり |
KMS キー |
暗号化コンテキスト条件: kms:EncryptionContext: context-key 権限条件: KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件: |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
あり |
KMS キー |
署名および検証の条件: kms:RequestAliasKMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) タグ付けの条件: aws:RequestTag/tag-key (AWS グローバル条件キー) aws:TagKeys (AWS グローバル条件キー) |
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) タグ付けの条件: aws:RequestTag/tag-key (AWS グローバル条件キー) aws:TagKeys (AWS グローバル条件キー) |
|
このオペレーションを使用するには、発信者には 3 つのリソースでの
詳細については、「エイリアスへのアクセスの制御」を参照してください。 |
IAM ポリシー (エイリアス用) |
なし |
エイリアス |
なし (エイリアスへのアクセスを制御する場合) |
|
キーポリシー (KMS キー用) |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
| UpdateCustomKeyStore
|
IAM ポリシー | なし |
|
|
|
|
キーポリシー |
なし |
KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
|
発信者がこのオペレーションを使用するには、レプリカキーとなるマルチリージョンプライマリキーと、プライマリキーとなるマルチリージョンレプリカキーの両方に対する |
キーポリシー |
なし | KMS キー |
KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) その他の条件 |
|
|
キーポリシー |
あり | KMS キー |
署名および検証の条件: kms:RequestAliasKMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) |
| VerifyMac
|
キーポリシー | あり | KMS キー | KMS キーオペレーションの条件: aws:ResourceTag/tag-key (AWS グローバル条件キー) 暗号化オペレーションの条件: |
列の説明
このテーブルの列には、以下の情報が表示されます:
-
アクションとアクセス許可は、各 AWS KMS API オペレーションおよびオペレーションを許可するアクセス許可を一覧表示します。ポリシーステートメントの
Action要素でオペレーションを指定します。 -
ポリシータイプは、アクセス許可がキーポリシーまたは IAM ポリシーで使用できるかどうかを表示します。
キーポリシーは、キーポリシーでアクセス許可を指定できることを意味します。キーポリシーに IAM ポリシーを有効にするポリシーステートメントが含まれている場合には、IAM ポリシーで許可を指定できます。
IAM ポリシーは、IAM ポリシーでのみアクセス許可を指定できることを意味します。
-
クロスアカウント使用は、別の AWS アカウント で、認可されたユーザーが実行できるオペレーションを表示します。
はいの値は、別の AWS アカウント で、プリンシパルがリソースに対してオペレーションを実行できることを意味します。
いいえの値は、自分の AWS アカウント で、プリンシパルがリソースに対してのみオペレーションを実行できることを意味します。
別のアカウントのプリンシパルにクロスアカウントリソースで使用できないアクセス許可を付与した場合、そのアクセス許可は無効になります。例えば、別のアカウントでプリンシパルに、ユーザーのアカウントのKMS キーへの kms:TagResource 許可を付与した場合、KMS キーをユーザーのアカウントへタグ付けする試行は失敗します。
-
リソースには、アクセス許可が適用される AWS KMS リソースが一覧表示されます。AWS KMS は、KMS キーとエイリアスの 2 つのリソースタイプをサポートします。キーポリシーでは、
Resource要素の値は常に*であり、キーポリシーがアタッチされている KMS キーを示します。IAM ポリシー内の AWS KMS リソースを表すには、次の値を使用します。
- KMS キー
-
リソースが KMS キーの場合は、そのキー ARN を使用します。ヘルプについては、「キー ID とキー ARN を検索する」を参照してください。
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_ID例:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- エイリアス
-
リソースがエイリアスの場合は、そのエイリアス ARN を使用します。ヘルプについては、「KMS キーのエイリアス名とエイリアス ARN を見つける」を参照してください。
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_name例:
arn:aws:kms:us-west-2:111122223333:alias/ExampleAlias
*(アスタリスク)-
アクセス許可が特定のリソース (KMS キーまたはエイリアス) に適用されない場合は、アスタリスク (
*) を使用します。IAM ポリシーの AWS KMS アクセス許可では、
Resource要素のアスタリスクはすべての AWS KMS リソース (KMS キーとエイリアス) を示します。AWS KMS アクセス許可が特定の KMS キーやエイリアスに適用されない場合にも、Resource要素でアスタリスクを使用できます。例えば、kms:CreateKeyまたはkms:ListKeysのアクセス許可を許可または拒否する場合は、Resource要素を*に設定する必要があります。
-
AWS KMS 条件キーには、オペレーションへのアクセスを制御するために使用できる AWS KMS 条件キーが一覧表示されます。ポリシーの
Condition要素で条件を指定します。詳細については、「AWS KMS 条件キー」を参照してください。また、この列には でサポートされる (ただし、すべての AWS サービスではなく) AWS KMS グローバル条件キーAWSも含まれています。
