本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 預設金鑰政策 在您建立 KMS 金鑰時，可以指定新 KMS 金鑰的金鑰政策。如果您未提供， 會為您 AWS KMS 建立一個。 AWS KMS 使用的預設金鑰政策會因您在 AWS KMS 主控台中建立金鑰或使用 AWS KMS API 而有所不同。 **當您以程式設計方式建立 KMS 金鑰時的預設金鑰政策** 當您使用 [AWS KMS API](https://docs.aws.amazon.com/kms/latest/APIReference/) 以程式設計方式建立 KMS 金鑰 （包括使用 [AWS SDKs](https://aws.amazon.com/tools/#sdk) [AWS Command Line Interface](https://docs.aws.amazon.com/cli/latest/userguide/)或 [AWS Tools for PowerShell](https://docs.aws.amazon.com/powershell/latest/userguide/))，而且您未指定金鑰政策時， 會 AWS KMS 套用非常簡單的預設金鑰政策。此預設金鑰政策有一個政策陳述式，提供 AWS 帳戶 擁有 KMS 金鑰的 使用 IAM 政策的許可，以允許存取 KMS 金鑰上的所有 AWS KMS 操作。如需有關此政策陳述式的詳細資訊，請參閱[允許存取 AWS 帳戶 並啟用 IAM 政策](#key-policy-default-allow-root-enable-iam)。 **使用 建立 KMS 金鑰時的預設金鑰政策 AWS 管理主控台** 當您[使用 建立 KMS 金鑰 AWS 管理主控台](create-keys.md)時，金鑰政策會從[允許存取 AWS 帳戶 並啟用 IAM 政策](#key-policy-default-allow-root-enable-iam)的政策陳述式開始。主控台接著會新增[金鑰管理員陳述式](#key-policy-default-allow-administrators)、[金鑰使用者陳述式](#key-policy-default-allow-users)，以及 （對於大多數金鑰類型） 允許主體將 KMS 金鑰與其他 [AWS 服務](#key-policy-service-integration)搭配使用的陳述式。您可以使用 AWS KMS 主控台的功能來指定 IAM 使用者、IAM 角色，以及 AWS 帳戶 誰是金鑰管理員，以及誰是金鑰使用者 （或兩者）。 **許可** + [允許存取 AWS 帳戶 並啟用 IAM 政策](#key-policy-default-allow-root-enable-iam) + [允許金鑰管理員來管理 KMS 金鑰](#key-policy-default-allow-administrators) + [允許金鑰使用者使用 KMS 金鑰](#key-policy-default-allow-users) + [允許金鑰使用者在密碼編譯操作中使用 KMS 金鑰](#key-policy-users-crypto) + [允許金鑰使用者搭配 AWS 服務使用 KMS 金鑰](#key-policy-service-integration) ## 允許存取 AWS 帳戶 並啟用 IAM 政策 以下預設金鑰政策陳述式至關重要。 + 它可讓 AWS 帳戶 擁有 KMS 金鑰的 完整存取 KMS 金鑰。 與其他 AWS 資源政策不同， AWS KMS 金鑰政策不會自動將許可授予帳戶或其任何身分。若要向帳戶管理員授予許可，金鑰政策必須包含提供此許可的明確陳述式。 + 除金鑰政策外，它還允許帳戶使用 IAM 政策來允許對 KMS 金鑰的存取。 如果沒有此許可，允許存取金鑰的 IAM 政策將無效，但拒絕存取金鑰的 IAM 政策仍然有效。 + 它透過向帳戶管理員 (包括帳戶根使用者) 授予無法刪除存取控制許可，來降低金鑰變得無法管理的風險。 以下金鑰政策陳述式是以程式設計方式建立的 KMS 金鑰的完整預設金鑰政策。這是 AWS KMS 在主控台中建立之 KMS 金鑰的預設金鑰政策中的第一個政策陳述式。 ``` { "Sid": "Enable IAM User Permissions", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action": "kms:*", "Resource": "*" } ``` **允許 IAM 政策允許對 KMS 金鑰的存取。** 上述金鑰政策陳述式提供擁有金鑰許可 AWS 帳戶 的 使用 IAM 政策以及金鑰政策，以允許 KMS 金鑰上的所有動作 (`kms:*`)。 此金鑰政策陳述式的主體為[帳戶主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html#principal-accounts)，由以下格式的 ARN 表示︰`arn:aws:iam::account-id:root`。帳戶主體代表 AWS 帳戶及其管理員。 若金鑰政策陳述式中的主體為帳戶主體，則政策陳述式不會向任何 IAM 主體授予使用 KMS 金鑰的許可。而是允許帳戶使用 IAM 政策，來*委派*政策陳述式中指定的許可。此預設金鑰政策陳述式允許帳戶使用 IAM 政策，來委派 KMS 金鑰上的所有動作許可 (`kms:*`)。 ** 降低 KMS 金鑰變得無法管理的風險。** 與其他 AWS 資源政策不同， AWS KMS 金鑰政策不會自動將許可授予帳戶或其任何委託人。向包括[帳戶主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html#principal-accounts)在內的任何主體授予許可，必須使用明確授予許可的金鑰政策陳述式。您無需授予帳戶主體或任何主體存取 KMS 金鑰的許可。然而，向帳戶主體授予存取許可，能夠幫助您防止金鑰變得無法管理。 例如，假設您建立的金鑰政策僅向一個使用者授予存取 KMS 金鑰的許可。如果您隨後刪除該使用者，金鑰將變得無法管理，您必須[聯絡 AWS 支援](https://console.aws.amazon.com/support/home#/case/create)，以重新取得對 KMS 金鑰的存取。 上面顯示的金鑰政策陳述式提供[帳戶主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html#principal-accounts)控制金鑰的許可。帳戶主體代表 AWS 帳戶 及其管理員，包括[帳戶根使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html)。帳戶根使用者是唯一不能刪除的主體，除非您刪除 AWS 帳戶。IAM 最佳實務不鼓勵代表帳戶根使用者採取行動，但在緊急情況下除外。然而，如果刪除具有 KMS 金鑰存取許可的所有其他使用者和角色，則可能需要充當帳戶根使用者。 ## 允許金鑰管理員來管理 KMS 金鑰 透過主控台建立的預設金鑰政策可讓您選擇帳戶中的 IAM 使用者和角色，並將其設為*金鑰管理員*。此陳述式稱為*金鑰管理員陳述式*。金鑰管理員有權管理 KMS 金鑰，但無權在[密碼編譯操作](kms-cryptography.md#cryptographic-operations)中使用 KMS 金鑰。當您在預設檢視或政策檢視中建立 KMS 金鑰時，您可以新增 IAM 使用者和角色至金鑰管理員的清單。 **警告** 由於金鑰管理員具有變更金鑰政策並建立授予的許可，因此他們可以授予自己和此政策中未指定的其他 AWS KMS 許可。 擁有管理標籤和別名許可的主體也可以控制對 KMS 金鑰的存取。如需詳細資訊，請參閱[適用於 的 ABAC AWS KMS](abac.md)。 **注意** IAM 最佳實務不建議使用具有長期憑證的 IAM 使用者。盡可能使用提供臨時憑證的 IAM 角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 中的安全性最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 以下範例顯示 AWS KMS 主控台之預設檢視中的金鑰管理員陳述式。 ![\[主控台之預設金鑰政策預設檢視中的金鑰管理員\]](http://docs.aws.amazon.com/zh_tw/kms/latest/developerguide/images/console-key-policy-administrators-60.png) 以下是 AWS KMS 主控台之政策檢視中的範例金鑰管理員陳述式。此金鑰管理員陳述式適用於單一區域對稱加密 KMS 金鑰。 **注意** AWS KMS 主控台會將金鑰管理員新增至陳述式識別碼 下的金鑰政策`"Allow access for Key Administrators"`。修改此陳述式識別符可能會影響主控台顯示您對陳述式所做的更新的方式。 ``` { "Sid": "Allow access for Key Administrators", "Effect": "Allow", "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"}, "Action": [ "kms:Create*", "kms:Describe*", "kms:Enable*", "kms:List*", "kms:Put*", "kms:Update*", "kms:Revoke*", "kms:Disable*", "kms:Get*", "kms:Delete*", "kms:TagResource", "kms:UntagResource", "kms:ScheduleKeyDeletion", "kms:CancelKeyDeletion", "kms:RotateKeyOnDemand" ], "Resource": "*" } ``` 最常見的 KMS 金鑰 (即單一區域對稱加密 KMS 金鑰) 的預設金鑰管理員陳述式允許以下許可。如需有關每個許可的詳細資訊，請參閱 [AWS KMS 許可](kms-api-permissions-reference.md)。 當您使用 AWS KMS 主控台建立 KMS 金鑰時，主控台會將您指定的使用者和角色新增至金鑰管理員陳述式中的 `Principal`元素。 這些許可中有許多都包含萬用字元 (`*`)，允許以指定動詞開頭的所有許可。因此，當 AWS KMS 新增 API 操作時，會自動允許金鑰管理員使用這些操作。您不需要更新您的主要政策，即可包含新的操作。如果您想要將金鑰管理員限制在一組固定的 API 操作中，您可以[變更金鑰政策](key-policy-modifying.md)。 **`kms:Create*`** 允許 [`kms:CreateAlias`](kms-alias.md) 和 [`kms:CreateGrant`](grants.md)。(`kms:CreateKey` 許可僅在 IAM 政策中有效。) **`kms:Describe*`** 允許 [`kms:DescribeKey`](viewing-keys.md) 需要 `kms:DescribeKey` 許可才能檢視 AWS 管理主控台中 KMS 金鑰的金鑰詳細資訊頁面。 **`kms:Enable*`** 允許 [`kms:EnableKey`](enabling-keys.md) 如果是對稱加密 KMS 金鑰，其亦允許 [`kms:EnableKeyRotation`](rotate-keys.md)。 **`kms:List*`** 允許 [`kms:ListGrants`](grants.md)、[https://docs.aws.amazon.com/kms/latest/APIReference/API_ListKeyPolicies.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_ListKeyPolicies.html) 和 [`kms:ListResourceTags`](tagging-keys.md)。(在 AWS 管理主控台中檢視 KMS 金鑰所需的 `kms:ListAliases` 和 `kms:ListKeys` 許可，只在 IAM 政策中有效。) **`kms:Put*`** 允許 [https://docs.aws.amazon.com/kms/latest/APIReference/API_PutKeyPolicy.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_PutKeyPolicy.html) 此許可允許金鑰管理員變更此 KMS 金鑰的金鑰政策。 **`kms:Update*`** 允許 [`kms:UpdateAlias`](alias-update.md) 和 [https://docs.aws.amazon.com/kms/latest/APIReference/API_UpdateKeyDescription.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_UpdateKeyDescription.html)。對於多區域金鑰，它允許此 KMS 金鑰上的 [`kms:UpdatePrimaryRegion`](multi-region-update.md#update-primary-console)。 **`kms:Revoke*`** 允許 [`kms:RevokeGrant`](grant-delete.md)，它允許金鑰管理員[刪除授權](grant-delete.md)，即使他們不是授權中的[淘汰主體](grants.md#terms-retiring-principal)。 **`kms:Disable*`** 允許 [`kms:DisableKey`](enabling-keys.md) 如果是對稱加密 KMS 金鑰，其亦允許 [`kms:DisableKeyRotation`](rotate-keys.md)。 **`kms:Get*`** 允許 [`kms:GetKeyPolicy`](key-policy-viewing.md) 和 [`kms:GetKeyRotationStatus`](rotate-keys.md)。對於具有匯入金鑰材料的 KMS 金鑰，它允許 [https://docs.aws.amazon.com/kms/latest/APIReference/API_GetParametersForImport.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_GetParametersForImport.html)。對於非對稱 KMS 金鑰，它允許 [https://docs.aws.amazon.com/kms/latest/APIReference/API_GetPublicKey.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_GetPublicKey.html)。需要 `kms:GetKeyPolicy` 許可才能檢視 AWS 管理主控台中 KMS 金鑰的金鑰政策。 **`kms:Delete*`** 允許 [`kms:DeleteAlias`](kms-alias.md) 對於具有匯入金鑰材料的金鑰，它允許 [`kms:DeleteImportedKeyMaterial`](importing-keys.md)。`kms:Delete*` 許可不允許金鑰管理員刪除 KMS 金鑰 (`ScheduleKeyDeletion`)。 **`kms:TagResource`** 允許 [`kms:TagResource`](tagging-keys.md)，可讓金鑰管理員將標籤新增至 KMS 金鑰。由於標籤也可用來控制對 KMS 金鑰的存取，此許可讓管理員可允許或拒絕對 KMS 金鑰的存取。如需詳細資訊，請參閱[適用於 的 ABAC AWS KMS](abac.md)。 **`kms:UntagResource`** 允許 [`kms:UntagResource`](tagging-keys.md)，可讓金鑰管理員從 KMS 金鑰刪除標籤。由於標籤可用來控制對金鑰的存取，因此此許可可讓管理員允許或拒絕對 KMS 金鑰的存取。如需詳細資訊，請參閱[適用於 的 ABAC AWS KMS](abac.md)。 **`kms:ScheduleKeyDeletion`** 允許 [https://docs.aws.amazon.com/kms/latest/APIReference/API_ScheduleKeyDeletion.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_ScheduleKeyDeletion.html)，可讓金鑰管理員[刪除此 KMS 金鑰](deleting-keys.md)。若要刪除此許可，請清除 **Allow key administrators to delete this key** (允許金鑰管理員刪除此金鑰) 選項。 **`kms:CancelKeyDeletion`** 允許 [https://docs.aws.amazon.com/kms/latest/APIReference/API_CancelKeyDeletion.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_CancelKeyDeletion.html)，可讓金鑰管理員[取消刪除此 KMS 金鑰](deleting-keys.md)。若要刪除此許可，請清除 **Allow key administrators to delete this key** (允許金鑰管理員刪除此金鑰) 選項。 **`kms:RotateKeyOnDemand`** 允許 [https://docs.aws.amazon.com/kms/latest/APIReference/API_RotateKeyOnDemand.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_RotateKeyOnDemand.html)，這可讓金鑰管理員[執行此 KMS 金鑰中金鑰材料的隨需輪換](rotating-keys-on-demand.md)。   AWS KMS 當您建立特殊用途金鑰時， 會將下列許可新增至預設金鑰管理員陳述式。 **`kms:ImportKeyMaterial`** [https://docs.aws.amazon.com/kms/latest/APIReference/API_ImportKeyMaterial.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_ImportKeyMaterial.html) 許可允許金鑰管理員將金鑰材料匯入 KMS 金鑰。只有當您[建立不含金鑰資料的 KMS 金鑰](importing-keys-create-cmk.md)時，此許可才會包含在金鑰政策中。 **`kms:ReplicateKey`** [https://docs.aws.amazon.com/kms/latest/APIReference/API_ReplicateKey.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_ReplicateKey.html) 許可允許金鑰管理員[在不同區域中建立多區域主要金鑰的複本](multi-region-keys-replicate.md) AWS 。只有當您建立多區域主要金鑰或複本金鑰時，此許可才會包含在金鑰政策中。 **`kms:UpdatePrimaryRegion`** [https://docs.aws.amazon.com/kms/latest/APIReference/API_UpdatePrimaryRegion.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_UpdatePrimaryRegion.html) 許可允許金鑰管理員[將多區域複本金鑰變更為多區域主要金鑰](multi-region-update.md)。只有當您建立多區域主要金鑰或複本金鑰時，此許可才會包含在金鑰政策中。 ## 允許金鑰使用者使用 KMS 金鑰 主控台為 KMS 金鑰建立的預設金鑰政策可讓您選擇帳戶中和外部的 IAM 使用者和 IAM 角色 AWS 帳戶，並使其成為*金鑰使用者*。 主控台會將兩個政策陳述式新增至金鑰使用者的金鑰政策。 + [直接使用 KMS 金鑰](#key-policy-users-crypto) – 第一個金鑰政策陳述式給予金鑰使用者直接針對該類型 KMS 金鑰所有受支援的[密碼編譯操作](kms-cryptography.md#cryptographic-operations)使用 KMS 金鑰的許可。 + [將 KMS 金鑰與 AWS 服務](#key-policy-service-integration)搭配使用 — 第二個政策陳述式提供金鑰使用者許可，允許與 整合 AWS 的服務代表他們 AWS KMS 使用 KMS 金鑰來保護 資源，例如 Amazon S3 儲存貯體和 Amazon DynamoDB 資料表。 您可以在建立 KMS 金鑰時 AWS 帳戶 ，將 IAM 使用者、IAM 角色和其他 新增至金鑰使用者清單。您也可以使用主控台的金鑰政策預設檢視來編輯清單，如下圖所示。金鑰政策的預設檢視位於金鑰詳細資訊頁面。如需允許其他 中的使用者 AWS 帳戶 使用 KMS 金鑰的詳細資訊，請參閱 [允許其他帳戶中的使用者使用 KMS 金鑰](key-policy-modifying-external-accounts.md)。 **注意** IAM 最佳實務不建議使用具有長期憑證的 IAM 使用者。盡可能使用提供臨時憑證的 IAM 角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 中的安全性最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ![\[主控台之預設金鑰政策預設檢視中的金鑰使用者\]](http://docs.aws.amazon.com/zh_tw/kms/latest/developerguide/images/console-key-policy-users-sm.png) 單一區域對稱的預設*金鑰使用者陳述式*允許下列許可。如需有關每個許可的詳細資訊，請參閱 [AWS KMS 許可](kms-api-permissions-reference.md)。 當您使用 AWS KMS 主控台建立 KMS 金鑰時，主控台會將您指定的使用者和角色新增至每個金鑰使用者陳述式中的 `Principal`元素。 **注意** AWS KMS 主控台會將金鑰使用者新增至陳述式識別碼 `"Allow use of the key"`和 下的金鑰政策`"Allow attachment of persistent resources"`。修改這些陳述式識別符可能會影響主控台顯示您對陳述式所做的更新。 ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::111122223333:role/ExampleRole", "arn:aws:iam::444455556666:root" ]}, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*" }, { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::111122223333:role/ExampleRole", "arn:aws:iam::444455556666:root" ]}, "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": "*", "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}} } ``` ## 允許金鑰使用者在密碼編譯操作中使用 KMS 金鑰 金鑰使用者有權直接在 KMS 金鑰支援的所有[密碼編譯操作](kms-cryptography.md#cryptographic-operations)中使用 KMS 金鑰。他們也可以使用 [DescribeKey ](https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html)操作，在 AWS KMS 主控台或使用 AWS KMS API 操作取得 KMS 金鑰的詳細資訊。 根據預設， AWS KMS 主控台會將下列範例中的金鑰使用者陳述式新增至預設金鑰政策。由於政策陳述式支援不同的 API 操作，因此對稱加密 KMS 金鑰、HMAC KMS 金鑰、用於公有金鑰加密的非對稱 KMS 金鑰、用於簽署和驗證的非對稱 KMS 金鑰的政策陳述式中的動作都會略有不同。 **對稱加密 KMS 金鑰** 主控台會將下列陳述式新增至對稱加密 KMS 金鑰的金鑰政策。 ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"}, "Action": [ "kms:Decrypt", "kms:DescribeKey", "kms:Encrypt", "kms:GenerateDataKey*", "kms:ReEncrypt*" ], "Resource": "*" } ``` **HMAC KMS 金鑰** 主控台會將下列陳述式新增至 HMAC KMS 金鑰的金鑰政策。 ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"}, "Action": [ "kms:DescribeKey", "kms:GenerateMac", "kms:VerifyMac" ], "Resource": "*" } ``` **公有金鑰加密的非對稱 KMS 金鑰** 主控台會將下列陳述式新增至金鑰使用情形為 **Encrypt and decrypt** (加密和解密) 之非對稱 KMS 金鑰的金鑰政策。 ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole" }, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:DescribeKey", "kms:GetPublicKey" ], "Resource": "*" } ``` **用於簽署和驗證的非對稱 KMS 金鑰** 主控台會將下列陳述式新增至金鑰使用情形為 **Sign and verify** (簽署和驗證) 之非對稱 KMS 金鑰的金鑰政策。 ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"}, "Action": [ "kms:DescribeKey", "kms:GetPublicKey", "kms:Sign", "kms:Verify" ], "Resource": "*" } ``` **用於衍生共用秘密的非對稱 KMS 金鑰** 主控台會將下列陳述式新增至具有金鑰**協議金鑰用量的非對稱 KMS 金鑰的金鑰**政策。 ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"}, "Action": [ "kms:DescribeKey", "kms:GetPublicKey", "kms:DeriveSharedSecret" ], "Resource": "*" } ``` 這些陳述式中的動作會提供金鑰使用者下列許可。 [https://docs.aws.amazon.com/kms/latest/APIReference/API_Encrypt.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_Encrypt.html) 允許金鑰使用者使用此 KMS 金鑰加密資料。 [https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html) 允許金鑰使用者使用此 KMS 金鑰解密資料。 [https://docs.aws.amazon.com/kms/latest/APIReference/API_DeriveSharedSecret.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_DeriveSharedSecret.html) 允許金鑰使用者使用此 KMS 金鑰衍生共用秘密。 [https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html) 允許金鑰使用者取得此 KMS 金鑰的資訊，包括其識別符、建立日期和金鑰狀態。它還允許金鑰使用者在 AWS KMS 主控台中顯示 KMS 金鑰的詳細資訊。 `kms:GenerateDataKey*` 允許金鑰使用者為用戶端密碼編譯操作請求對稱資料金鑰或非對稱資料金鑰對。主控台使用 \$1 萬用字元表示允許下列 API 操作：[GenerateDataKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKey.html)、[GenerateDataKeyWithoutPlaintext](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKeyWithoutPlaintext.html)、[GenerateDataKeyPair](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKeyPair.html) 和 [GenerateDataKeyPairWithoutPlaintext](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKeyPairWithoutPlaintext.html)。這些許可只有在加密資料金鑰的對稱 KMS 金鑰上才有效。 [kms:GenerateMac](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateMac.html) 允許金鑰使用者使用 HMAC KMS 金鑰來產生 HMAC 標籤。 [kms:GetPublicKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_GetPublicKey.html) 允許金鑰使用者下載非對稱 KMS 金鑰的公有金鑰。與您共用此公有金鑰的對象可以加密 外部的資料 AWS KMS。不過，這些加密文字只能透過呼叫 AWS KMS中的 [Decrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html) 操作進行解密。 [kms:ReEncrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_ReEncrypt.html)\$1 允許金鑰使用者重新加密原本使用此 KMS 金鑰加密的資料，或使用此 KMS 金鑰重新加密之前加密過的資料。[ReEncrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_ReEncrypt.html) 操作需要同時存取來源和目標 KMS 金鑰。若要完成此動作，您可以允許來源 KMS 金鑰的 `kms:ReEncryptFrom` 許可和目標 KMS 金鑰的 `kms:ReEncryptTo` 許可。但為簡單起見，主控台允許兩種 KMS 金鑰都使用 `kms:ReEncrypt*` (使用 `*` 萬用字元)。 [kms:Sign](https://docs.aws.amazon.com/kms/latest/APIReference/API_Sign.html) 允許金鑰使用者使用此 KMS 金鑰簽署訊息。 [kms:Verify](https://docs.aws.amazon.com/kms/latest/APIReference/API_Verify.html) 允許金鑰使用者使用此 KMS 金鑰驗證簽章。 [kms:VerifyMac](https://docs.aws.amazon.com/kms/latest/APIReference/API_VerifyMac.html) 允許金鑰使用者使用 HMAC KMS 金鑰來驗證 HMAC 標籤。 ## 允許金鑰使用者搭配 AWS 服務使用 KMS 金鑰 主控台中的預設金鑰政策也會為金鑰使用者提供所需的授予許可，以保護使用 grant.services AWS 的服務中的資料。 AWS 服務通常會使用 grant 來取得使用 KMS 金鑰的特定有限許可。 此金鑰政策陳述式允許金鑰使用者建立、檢視和撤銷 KMS 金鑰的授予，但僅限於授予操作請求來自[AWS 與 整合的服務 AWS KMS](https://aws.amazon.com/kms/features/#AWS_Service_Integration)時。[kms:GrantIsForAWSResource](conditions-kms.md#conditions-kms-grant-is-for-aws-resource) 政策條件不允許使用者直接呼叫這些授予操作。當金鑰使用者允許時， AWS 服務可以代表使用者建立授予，以允許服務使用 KMS 金鑰來保護使用者的資料。 金鑰使用者需要這些授權許可，才能使用其 KMS 金鑰與整合服務，但這些許可仍有不足。金鑰使用者也需要有許可才能使用整合服務。如需有關讓使用者存取與 整合之 AWS 服務的詳細資訊 AWS KMS，請參閱整合服務的文件。 ``` { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"}, "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": "*", "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}} } ``` 例如，金鑰使用者可以透過下列方式在 KMS 金鑰上使用這些許可。 + 將此 KMS 金鑰搭配 Amazon Elastic Block Store (Amazon EBS) 和 Amazon Elastic Compute Cloud (Amazon EC2) 使用，將加密的 EBS 磁碟區連接到 EC2 執行個體。金鑰使用者隱含提供 Amazon EC2 使用 KMS 金鑰將加密磁碟區連接到執行個體的許可。如需詳細資訊，請參閱[Amazon Elastic Block Store (Amazon EBS) 如何使用 AWS KMS](services-ebs.md)。 + 將此 KMS 金鑰搭配 Amazon Redshift 使用，以啟動加密叢集。金鑰使用者隱含提供 Amazon Redshift 使用 KMS 金鑰啟動加密叢集並建立加密快照的許可。如需詳細資訊，請參閱[Amazon Redshift 如何使用 AWS KMS](services-redshift.md)。 + 使用此 KMS 金鑰搭配其他[與 AWS KMS整合且使用授權的AWS 服務](service-integration.md)，來建立、管理或使用加密資源搭配這些服務。 預設金鑰政策允許金鑰使用者將其許可授予*所有*使用授權的整合服務。不過，您可以建立自訂金鑰政策，將許可限制為指定的 AWS 服務。如需詳細資訊，請參閱 [kms:ViaService](conditions-kms.md#conditions-kms-via-service) 條件金鑰。