View a markdown version of this page

的 KMS 密钥的权限 Amazon Config 传输通道 - Amazon Config
使用 IAM 角色时使用时 Service-Linked 角色授予 Amazon Config 访问
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

的 KMS 密钥的权限 Amazon Config 传输通道

如果要为某个创建策略，请使用本主题中的信息 Amazon KMS 允许您使用的 S3 存储桶的密钥 KMS-based 对交付的对象进行加密 Amazon Config 用于 S3 存储桶交付。

使用 IAM 角色（S3 存储桶传输）时 KMS 密钥的必需权限

如果你设置了 Amazon Config 使用 IAM 角色，您可以将以下权限策略附加到 KMS 密钥：


{
    "Id": "Policy_ID",
    "Statement": [
        {
            "Sid": "AWSConfigKMSPolicy",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Effect": "Allow",
            "Resource": "*myKMSKeyARN*",
            "Principal": {
                "AWS": [
                    "account-id1",
                    "account-id2",
                    "account-id3"
                ]
            }
        }
    ]
}
注意

如果 IAM 角色、Amazon S3 存储桶策略或 Amazon KMS 密钥无法提供相应的访问权限 Amazon Config，那么 Amazon Config尝试向 Amazon S3 存储桶发送配置信息将失败。在本次活动中， Amazon Config 再次发送信息，这次是 Amazon Config 服务负责人。在这种情况下，您必须将权限策略（如下所述）附加到 Amazon KMS 授予的钥匙 Amazon Config 向 Amazon S3 存储桶传输信息时有权使用密钥。

所需的权限 Amazon KMS 使用时的密钥 Service-Linked 角色（S3 存储桶交付）

这个 Amazon Config 服务相关角色没有权限访问 Amazon KMS 钥匙。所以，如果你设置 Amazon Config 使用服务相关角色， Amazon Config 将以以下方式发送信息 Amazon Config 取而代之的是服务主体。您需要将访问策略（如下所述）附加到 Amazon KMS 授予的钥匙 Amazon Config 有权使用 Amazon KMS 向 Amazon S3 存储桶传输信息时的密钥。

授予 Amazon Config 访问权限 Amazon KMS Key

此政策允许 Amazon Config 使用 Amazon KMS 向 Amazon S3 存储桶传输信息时的密钥

{
    "Id": "Policy_ID",
    "Statement": [
        {
            "Sid": "AWSConfigKMSPolicy",
            "Effect": "Allow",
            "Principal": {
                "Service": "config.amazonaws.com"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "myKMSKeyARN",
            "Condition": { 
                "StringEquals": {
                    "AWS:SourceAccount": "sourceAccountID"
                }
            }
        }
    ]
}

替换密钥策略中的以下值：

  • myKMSKeyARN — 的 ARN Amazon KMS 用于加密 Amazon S3 存储桶中数据的密钥 Amazon Config 会将配置项目交付到。

  • sourceAccountID — 该账户的 ID Amazon Config 会将配置项目交付到。

你可以使用 AWS:SourceAccount 条件在 Amazon KMS 上面的密钥策略限制配置服务主体只能与交互 Amazon KMS 代表特定账户执行操作时的密钥。

Amazon Config 还支持 AWS:SourceArn 这种情况限制配置服务主体仅在代表特定用户执行操作时与 Amazon S3 存储桶进行交互 Amazon Config 交付渠道。使用时 Amazon Config 服务负责人， AWS:SourceArn 属性将始终设置为 arn:aws:config:sourceRegion:sourceAccountID:* 哪里 sourceRegion 是交付渠道的区域， sourceAccountID 是包含交付渠道的账户的 ID。有关以下内容的更多信息 Amazon Config 配送渠道，请参阅 管理交付渠道。例如，添加以下条件以限制 Config 服务主体仅代表账户 123456789012 中 us-east-1 区域中的传输通道与您的 Amazon S3 存储桶进行交互："ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}。