As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
AWS KMSPermissões
Esta tabela foi projetada para ajudar você a entender as permissões do AWS KMS para que você possa controlar o acesso a seus recursos do AWS KMS. As definições dos cabeçalhos das colunas aparecem abaixo da tabela.
Você também pode aprender sobre as permissões do AWS KMS no tópico Ações, recursos e chaves de condição para o AWS Key Management Service da Referência de autorização de serviço. No entanto, esse tópico não lista todas as chaves de condição que você pode usar para refinar cada permissão.
Para obter mais informações sobre quais operações do AWS KMS são válidas para chaves de criptografia simétrica do KMS, chaves do KMS assimétricas e chaves do KMS HMAC, consulte o Referência de tipos de chaves.
nota
Talvez seja necessário rolar horizontalmente ou verticalmente para ver todos os dados da tabela.
| Ações e permissões | Tipo de política | Uso entre contas | Recursos (para políticas do IAM) | AWS KMSChaves de condição do |
|---|---|---|---|---|
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
| ConnectCustomKeyStore
|
Política do IAM | Não |
|
|
|
Para usar essa operação, o chamador precisa da permissão
Para obter detalhes, consulte Controlar o acesso a aliases. |
Política do IAM (para o alias) |
Não |
Alias |
Nenhum (quando controlar o acesso ao alias) |
|
Política de chaves (para a chave do KMS) |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
| CreateCustomKeyStore
|
Política do IAM | Não |
|
|
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições de concessão: Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política do IAM |
Não |
|
kms:BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (chave de condição global da AWS) aws:ResourceTag/tag-key (chave de condição global da AWS) aws:TagKeys (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
Para usar essa operação, o chamador precisa da permissão
Para obter detalhes, consulte Controlar o acesso a aliases. |
Política do IAM (para o alias) |
Não |
Alias |
Nenhum (quando controlar o acesso ao alias) |
|
Política de chaves (para a chave do KMS) |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
| DeleteCustomKeyStore
|
Política do IAM | Não |
|
|
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
| DeriveSharedSecret
|
Política de chave | Sim | Chave do KMS | Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Condições para operações criptográficas: |
| DescribeCustomKeyStores
|
Política do IAM | Não |
|
|
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
| DisconnectCustomKeyStore
|
Política do IAM | Não |
|
|
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Condições de alternância automática de chaves: |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS Gera um par de chaves de dados assimétricas que é protegido por uma chave do KMS de criptografia simétrica. |
Condições para pares de chaves de dados: Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
GenerateDataKeyPairWithoutPlaintext
|
Política de chave |
Sim |
Chave do KMS Gera um par de chaves de dados assimétricas que é protegido por uma chave do KMS de criptografia simétrica. |
Condições para pares de chaves de dados: Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
GenerateDataKeyWithoutPlaintext
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
| GenerateMac
|
Política de chave | Sim | Chave do KMS | Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Condições para operações criptográficas: |
|
|
Política do IAM |
N/D |
|
Nenhum |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: kms:ExpirationModel |
|
|
Política do IAM |
Não |
|
Nenhum |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política do IAM |
Não |
|
Nenhum |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política do IAM |
A entidade principal especificada deve estar na conta local, mas a operação retorna concessões em todas as contas. |
|
Nenhum |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
Para usar essa operação, o autor da chamada precisa de permissão em duas chaves do KMS:
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações criptográficas Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
Para usar essa operação, o autor da chamada precisa das seguintes permissões:
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
A permissão para retirar uma concessão é determinada principalmente pela concessão. Uma política por si só não pode permitir o acesso a essa operação. Para obter mais informações, consulte Retirar e revogar concessões. |
Política do IAM (Essa permissão não é eficaz em uma política de chave.) |
Sim |
Chave do KMS |
Condições para contexto de criptografia: kms:EncryptionContext:context-key Condições de concessão: Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições: |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Sim |
Chave do KMS |
Condições para assinatura e verificação: kms:RequestAliasCondições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Condições para marcação: aws:RequestTag/tag-key (chave de condição global da AWS) aws:TagKeys (chave de condição global da AWS) |
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Condições para marcação: aws:RequestTag/tag-key (chave de condição global da AWS) aws:TagKeys (chave de condição global da AWS) |
|
Para usar essa operação, o chamador precisa da permissão
Para obter detalhes, consulte Controlar o acesso a aliases. |
Política do IAM (para o alias) |
Não |
Alias |
Nenhum (quando controlar o acesso ao alias) |
|
Política de chaves (para as chaves do KMS) |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
| UpdateCustomKeyStore
|
Política do IAM | Não |
|
|
|
|
Política de chave |
Não |
Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
|
Para usar essa operação, o autor da chamada precisa da permissão |
Política de chave |
Não | Chave do KMS |
Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Outras condições |
|
|
Política de chave |
Sim | Chave do KMS |
Condições para assinatura e verificação: kms:RequestAliasCondições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) |
| VerifyMac
|
Política de chave | Sim | Chave do KMS | Condições para operações de chave do KMS: aws:ResourceTag/tag-key (chave de condição global da AWS) Condições para operações criptográficas: |
Descrições das colunas
As colunas nesta tabela fornecem as seguintes informações:
-
Ações e permissões lista cada operação da API dp AWS KMS e a permissão que permite essa operação. Você especifica a operação no elemento
Actionde uma instrução de política. -
Tipo de política indica se a permissão pode ser usada em uma política de chaves ou política do IAM.
Política de chaves significa que você pode especificar a permissão na política de chaves. Quando a política de chaves contém a instrução de política que permite políticas do IAM, você pode especificar as permissões em uma política do IAM.
Política do IAM significa que você pode especificar a permissão apenas em uma política do IAM.
-
Uso entre contas mostra as operações que os usuários autorizados podem executar em recursos em uma Conta da AWS diferente.
Um valor de Yes (Sim) significa que as entidades principais podem executar a operação em recursos em uma Conta da AWS diferente.
Um valor de No (Não) significa que as entidades principais podem executar a operação somente em recursos da própria Conta da AWS.
Se você conceder a uma entidade principal em uma conta diferente uma permissão que não pode ser usada em um recurso entre contas, essa permissão não será efetiva. Por exemplo, se você fornecer a uma entidade principal em uma conta diferente a permissão kms:TagResource para uma chave do KMS na sua conta, suas tentativas de marcar a chave do KMS na sua conta falharão.
-
Resources (Recursos) lista os recursos do AWS KMS aos quais as permissões se aplicam. O AWS KMS é compatível com dois tipos de recursos: uma chave do KMS e um alias. Em uma política de chaves, o valor do elemento
Resourceé sempre*, o que indica a chave do KMS à qual a política de chaves está anexada.Use os valores a seguir para representar um recurso do AWS KMS em uma política do IAM.
- Chave do KMS
-
Quando o recurso for uma chave do KMS, use seu ARN de chave. Para obter ajuda, consulte Encontrar o ID e o ARN da chave.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDPor exemplo:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Quando o recurso for um alias, use seu ARN do alias. Para obter ajuda, consulte Encontrar o nome e o ARN do alias para uma chave do KMS.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_namePor exemplo:
arn:aws:kms:us-west-2:111122223333:alias/ExampleAlias
*(asterisco)-
Quando a permissão não se aplicar a um recurso específico (chave do KMS ou alias), use um asterisco (
*).Em uma política do IAM para uma permissão do AWS KMS, um asterisco no elemento
Resourceindica todos os recursos do AWS KMS (chaves do KMS e aliases). Também é possível usar um asterisco no elementoResourcequando a permissão do AWS KMS não se aplica a uma chave do KMS ou alias específico. Por exemplo, ao permitir ou negar a permissãokms:CreateKeyoukms:ListKeys, você deve definir o elementoResourcecomo*.
-
Chaves de condição do AWS KMS lista as chaves de condição do AWS KMS que é possível usar para controlar o acesso à operação. Especifique as condições no elemento
Conditionde uma política. Para obter mais informações, consulte AWS KMS chaves de condição. Essa coluna também inclui chaves de condição global da AWS as quais têm suporte no AWS KMS, mas não em todos os serviços da AWS.
