本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
AWS KMS 权限
此表旨在帮助您了解 AWS KMS 权限，以便您可以控制对 AWS KMS 资源的访问。表格下方会显示列标题的定义。
您还可以在服务授权参考的 AWS Key Management Service 的操作、资源和条件键主题中了解 AWS KMS 权限。但是，该主题并未列出可用于优化每个权限的所有条件键。
要详细了解哪些 AWS KMS 操作对称加密 KMS 密钥、非对称 KMS 密钥以及 HMAC KMS 密钥有效，请参阅密钥类型引用。
注意
您可能需要水平或垂直滚动才能查看表中的所有数据。
| 操作和权限 | 策略类型 | 跨账户使用 | 资源（适用于 IAM policy） | AWS KMS 条件键 |
|---|---|---|---|---|
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
| ConnectCustomKeyStore
|
IAM 策略 | 否 |
|
|
|
要使用此操作，调用方需要对以下两个资源具有
有关更多信息，请参阅 控制对别名的访问。 |
IAM policy（适用于别名） |
否 |
别名 |
无（控制对别名的访问时） |
|
密钥策略（适用于 KMS 密钥） |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
| CreateCustomKeyStore
|
IAM 策略 | 否 |
|
|
|
|
密钥策略 |
是 |
KMS 密钥 |
加密上下文条件： kms:EncryptionContext:context-key 授予条件： KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
IAM 策略 |
否 |
|
kms:BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key（AWS 全局条件键） aws:ResourceTag/tag-key（AWS 全局条件键） aws:TagKeys（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 |
加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
要使用此操作，调用方需要对以下两个资源具有
有关更多信息，请参阅 控制对别名的访问。 |
IAM policy（适用于别名） |
否 |
别名 |
无（控制对别名的访问时） |
|
密钥策略（适用于 KMS 密钥） |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
| DeleteCustomKeyStore
|
IAM 策略 | 否 |
|
|
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
| DeriveSharedSecret
|
密钥策略 | 是 | KMS 密钥 | KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 加密操作的条件： |
| DescribeCustomKeyStores
|
IAM 策略 | 否 |
|
|
|
|
密钥策略 |
是 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
| DisconnectCustomKeyStore
|
IAM 策略 | 否 |
|
|
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 自动密钥轮换条件： |
|
|
密钥策略 |
是 |
KMS 密钥 |
加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 |
加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 生成受对称加密 KMS 密钥保护的非对称数据密钥对。 |
数据密钥对的条件： 加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
GenerateDataKeyPairWithoutPlaintext
|
密钥策略 |
是 |
KMS 密钥 生成受对称加密 KMS 密钥保护的非对称数据密钥对。 |
数据密钥对的条件： 加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
GenerateDataKeyWithoutPlaintext
|
密钥策略 |
是 |
KMS 密钥 |
加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
| GenerateMac
|
密钥策略 | 是 | KMS 密钥 | KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 加密操作的条件： |
|
|
IAM 策略 |
不适用 |
|
无 |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： kms:ExpirationModel |
|
|
IAM 策略 |
否 |
|
无 |
|
|
密钥策略 |
是 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
IAM 策略 |
否 |
|
无 |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
IAM 策略 |
指定的委托人必须位于本地账户中，但操作将返回所有账户中的授权。 |
|
无 |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
要使用此操作，调用方需要对以下两个 KMS 密钥具有权限：
|
密钥策略 |
是 |
KMS 密钥 |
加密操作的条件 加密上下文条件： kms:EncryptionContext:context-key KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
要使用此操作，调用方需要具有以下权限：
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
撤销授予的权限主要由授予决定。单独的策略无法允许访问此操作。有关更多信息，请参阅停用和撤销授权。 |
IAM 策略 （此权限在密钥策略中无效。） |
是 |
KMS 密钥 |
加密上下文条件： kms:EncryptionContext:context-key 授予条件： KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件： |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
是 |
KMS 密钥 |
签名和验证条件： kms:RequestAliasKMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 标记条件： aws:RequestTag/tag-key（AWS 全局条件键） aws:TagKeys（AWS 全局条件键） |
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 标记条件： aws:RequestTag/tag-key（AWS 全局条件键） aws:TagKeys（AWS 全局条件键） |
|
要使用此操作，调用方需要对以下三个资源具有
有关更多信息，请参阅 控制对别名的访问。 |
IAM policy（适用于别名） |
否 |
别名 |
无（控制对别名的访问时） |
|
密钥策略（适用于 KMS 密钥） |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
| UpdateCustomKeyStore
|
IAM 策略 | 否 |
|
|
|
|
密钥策略 |
否 |
KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
|
要使用此操作，调用方需要对将成为副本密钥的多区域主键和将成为主键的多区域副本密钥同时具有 |
密钥策略 |
否 | KMS 密钥 |
KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 其他条件 |
|
|
密钥策略 |
是 | KMS 密钥 |
签名和验证条件： kms:RequestAliasKMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） |
| VerifyMac
|
密钥策略 | 是 | KMS 密钥 | KMS 密钥操作的条件： aws:ResourceTag/tag-key（AWS 全局条件键） 加密操作的条件： |
列描述
此表中的各列提供以下信息：
-
操作和权限列出每个 AWS KMS API 操作及允许执行该操作的权限。您可以在策略语句的
Action元素中指定操作。 -
策略类型指示权限是否可在密钥策略或 IAM policy 中使用。
密钥策略意味着您可以在密钥策略中指定权限。当密钥政策包含启用 IAM policy 的策略语句时，您可以在 IAM policy 中指定权限。
IAM policy 意味着您只能在 IAM policy 中指定权限。
-
跨账户使用显示了授权用户可以对其他 AWS 账户 中的资源执行的操作。
值 Yes（是）表示委托人可以对其他 AWS 账户 中的资源执行操作。
值 No（否）表示委托人只能对其自己的 AWS 账户 中的资源执行操作。
如果您为不同账户中的委托人授予一个不能在跨账户资源上使用的权限，则该权限将无效。例如，如果您为另一个账户中的委托人授予对您账户中的 KMS 密钥的 kms:TagResource 权限，则他们试图在您的账户中标记 KMS 密钥将失败。
-
资源列出了应用权限的 AWS KMS 资源。AWS KMS 支持两种资源类型：KMS 密钥和别名。在密钥策略中，
Resource元素的值始终为*，这表示密钥策略附加到的 KMS 密钥。使用以下值表示 IAM policy 中的 AWS KMS 资源。
- KMS 密钥
-
当资源是 KMS 密钥时，请使用其密钥 ARN。有关帮助信息，请参阅 查找密钥 ID 和密钥 ARN。
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_ID例如：
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- 别名
-
当资源是别名时，请使用其别名 ARN。有关帮助信息，请参阅 查找 KMS 密钥的别名和别名 ARN。
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_name例如：
arn:aws:kms:us-west-2:111122223333:alias/ExampleAlias
*（星号）-
当权限不适用于特定资源（KMS 密钥或别名）时，请使用星号 (
*)。在 AWS KMS 权限的 IAM policy 中，
Resource元素中的星号表示所有 AWS KMS 资源（KMS 密钥和别名）。当 AWS KMS 权限不适用于任何特定的 KMS 密钥或别名时，您也可以在Resource元素中使用星号。例如，允许或拒绝kms:CreateKey或kms:ListKeys权限时，必须将Resource元素设置为*。
-
AWS KMS 条件键列出可用于控制对操作的访问的 AWS KMS 条件键。您可以在策略的
Condition元素中指定条件。有关更多信息，请参阅 AWS KMS 条件键。此列还包含 AWS 全局条件上下文键，这些键受 AWS KMS 支持但并不受所有 AWS 服务支持。
