選擇性設定 AWS KMS keys - AWS Control Tower
更新 KMS 金鑰政策

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

選擇性設定 AWS KMS keys

如果您想要使用加密金鑰 AWS KMS 來加密和解密資源，請選取核取方塊。如果您有現有的金鑰，您可以從下拉式選單中顯示的識別符中選取它們。您可以選擇建立金鑰來產生新的金鑰。您可以在更新登陸區域時新增或變更 KMS 金鑰。

當您選取設定登陸區域時，AWS Control Tower 會執行預先檢查以驗證您的 KMS 金鑰。金鑰必須符合下列要求：

  • 已啟用

  • 對稱

  • 不是多區域金鑰

  • 已將正確的許可新增至政策

  • 金鑰位於 管理帳戶中

如果金鑰不符合這些要求，您可能會看到錯誤橫幅。在這種情況下，請選擇另一個金鑰或產生金鑰。請務必編輯金鑰的許可政策，如下節所述。

更新 KMS 金鑰政策

您必須先建立 KMS 金鑰，才能更新 KMS 金鑰政策。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的建立金鑰政策。

若要搭配 AWS Control Tower 使用 KMS 金鑰，您必須新增 AWS Config 和 所需的最低許可，以更新預設 KMS 金鑰政策 AWS CloudTrail。根據最佳實務，建議您在任何政策中包含最低必要許可。更新 KMS 金鑰政策時，您可以在單一 JSON 陳述式或逐行新增群組的許可。

此程序說明如何透過新增允許 AWS Config 和 CloudTrail AWS KMS 用於加密的政策陳述式，在 AWS KMS 主控台中更新預設 KMS 金鑰政策。政策陳述式要求您包含下列資訊：

  • YOUR-MANAGEMENT-ACCOUNT-ID – 要在其中設定 AWS Control Tower 的管理帳戶 ID。

  • YOUR-HOME-REGION – 您在設定 AWS Control Tower 時要選取的主要區域。

  • YOUR-KMS-KEY-ID – 將與政策搭配使用的 KMS 金鑰 ID。

更新 KMS 金鑰政策

  1. 開啟位於 的 AWS KMS 主控台 https://console.aws.amazon.com/kms

  2. 從導覽窗格中，選擇客戶受管金鑰。

  3. 在表格中，選取您要編輯的金鑰。

  4. 在金鑰政策索引標籤中，確定您可以檢視金鑰政策。如果您無法檢視金鑰政策，請選擇切換到政策檢視。

  5. 選擇編輯，並透過為 和 CloudTrail 新增下列政策陳述式來更新預設 KMS AWS Config 金鑰政策。

    AWS Config 政策陳述式 

    {
    "Sid": "Allow Config to use KMS for encryption",
    "Effect": "Allow",
    "Principal": {
        "Service": "config.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "arn:aws:kms:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:key/YOUR-KMS-KEY-ID"
}

    CloudTrail 政策陳述式 

    {
    "Sid": "Allow CloudTrail to use KMS for encryption",
    "Effect": "Allow",
    "Principal": {
        "Service": "cloudtrail.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey*",
        "kms:Decrypt"
    ],
    "Resource": "arn:aws:kms:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:key/YOUR-KMS-KEY-ID",
    "Condition": {
        "StringEquals": {
            "aws:SourceArn": "arn:aws:cloudtrail:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:trail/aws-controltower-BaselineCloudTrail"
        },
        "StringLike": {
            "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:YOUR-MANAGEMENT-ACCOUNT-ID:trail/*"
        }
    }
}

  6. 選擇儲存變更。

範例 KMS 金鑰政策

下列範例政策顯示在您新增授予 AWS Config 和 CloudTrail 最低必要許可的政策陳述式之後，您的 KMS 金鑰政策可能是什麼樣子。範例政策不包含您的預設 KMS 金鑰政策。

{
    "Version": "2012-10-17",		 	 	 
    "Id": "CustomKMSPolicy",
    "Statement": [
        {
        ... YOUR-EXISTING-POLICIES ...
        },
        {
            "Sid": "Allow Config to use KMS for encryption",
            "Effect": "Allow",
            "Principal": {
                "Service": "config.amazonaws.com"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:PARTITION:kms:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:key/YOUR-KMS-KEY-ID"
        },
        {
            "Sid": "Allow CloudTrail to use KMS for encryption",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
              ],
            "Resource": "arn:PARTITION:kms:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:key/YOUR-KMS-KEY-ID",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:PARTITION:cloudtrail:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:trail/aws-controltower-BaselineCloudTrail"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:cloudtrail:arn": "arn:PARTITION:cloudtrail:*:YOUR-MANAGEMENT-ACCOUNT-ID:trail/*"
                }
            }
        }
    ]
}

若要檢視其他範例政策，請參閱下列頁面：

防範攻擊者

透過將特定條件新增至政策，您可以協助防止特定類型的攻擊，稱為混淆代理人攻擊，如果實體強制更特權的實體執行動作，例如跨服務模擬。如需政策條件的一般資訊，另請參閱 在政策中指定條件。

AWS Key Management Service (AWS KMS) 可讓您建立多區域 KMS 金鑰和非對稱金鑰；不過，AWS Control Tower 不支援多區域金鑰或非對稱金鑰。AWS Control Tower 會執行現有金鑰的預先檢查。如果您選擇多區域金鑰或非對稱金鑰，您可能會看到錯誤訊息。在這種情況下， 會產生另一個金鑰以搭配 AWS Control Tower 資源使用。

如需 的詳細資訊 AWS KMS，請參閱 AWS KMS 開發人員指南。

請注意，根據預設，AWS Control Tower 中的客戶資料會使用 SSE-S3 進行靜態加密。