PCS の暗号化された EBS ボリュームで使用するために必要な KMS AWS キーポリシー

キーへのアクセスを許可するには

1. カスタマーマネージドキーのキーポリシーに次のポリシーステートメントを追加します。サンプル ARN を他のアカウントの ARN に置き換えます。111122223333 を、PCS クラスター AWS アカウント を作成する の実際のアカウント ID AWS に置き換えます。そうすることで、次の CLI コマンドを使用して、指定されたアカウント内の IAM ユーザーまたはロールに、キーに対するグラントを作成する許可を提供できます。デフォルトでは、ユーザーは キーにアクセスできません。

   {.
      "Sid": "Allow external account 111122223333 use of the customer managed key",
      "Effect": "Allow",
      "Principal": {
          "AWS": [
              "arn:aws:iam::111122223333:root"
          ]
      },
      "Action": [
          "kms:Encrypt",
          "kms:Decrypt",
          "kms:ReEncrypt*",
          "kms:GenerateDataKey*",
          "kms:DescribeKey"
      ],
      "Resource": "*"
   }

   {
      "Sid": "Allow attachment of persistent resources in external account 111122223333",
      "Effect": "Allow",
      "Principal": {
          "AWS": [
              "arn:aws:iam::111122223333:root"
          ]
      },
      "Action": [
          "kms:CreateGrant"
      ],
      "Resource": "*"
   }

2. PCS クラスターを作成するアカウントから、関連するアクセス許可を AWS PCS AWS サービスにリンクされたロールに委任する許可を作成します。の値は、サービスにリンクされたロールの ARN grantee-principalです。の値は、キーの ARN key-idです。

   次の create-grant CLI コマンドの例では、アカウント 111122223333 AWSServiceRoleForPCSで という名前のサービスにリンクされたロールに、アカウント 444455556666 でカスタマーマネージドキーを使用するためのアクセス許可を付与します。

   aws kms create-grant \
     --region us-west-2 \
     --key-id arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d \
     --grantee-principal arn:aws:iam::111122223333:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS \
     --operations "Encrypt" "Decrypt" "ReEncryptFrom" "ReEncryptTo" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "DescribeKey" "CreateGrant"

   注記

   リクエストを行うユーザーには、 kms:CreateGrantアクションを使用するためのアクセス許可が必要です。

   次の IAM ポリシーの例では、アカウント 111122223333 内の IAM アイデンティティ (ユーザーまたはロール) がアカウント 444455556666 内でカスタマーマネージド型キーの付与を作成できるようにします。

   JSON

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Sid": "AllowCreationOfGrantForTheKMSKeyinExternalAccount444455556666",
         "Effect": "Allow",
         "Action": "kms:CreateGrant",
         "Resource": "arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d"
       }
     ]
   }
   

   異なる AWS アカウント内での KMS キーに対するグラントの作成に関する詳細については、「AWS Key Management Service デベロッパーガイド」の「Grants in AWS KMS」を参照してください。

   重要

   被付与者のプリンシパルとして指定されたサービスにリンクされたロール名は、既存のロールの名前でなければなりません。許可を作成した後、その許可によって AWS PCS が指定された KMS キーを使用できるように、サービスにリンクされたロールを削除して再作成しないでください。