针对高级用户的 Amazon 托管策略 - Amazon Key Management Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

针对高级用户的 Amazon 托管策略

您可以使用 AWSKeyManagementServicePowerUser 托管式策略为您账户中的 IAM 主体授予高级用户的权限。高级用户可以创建 KMS 密钥、使用和管理他们创建的 KMS 密钥，以及查看所有 KMS 密钥和 IAM 身份。具有 AWSKeyManagementServicePowerUser 托管式策略的主体还可以从其他来源获取权限，包括密钥策略、其他 IAM policy 和授权。

AWSKeyManagementServicePowerUser 是一种 Amazon 托管式 IAM policy。有关 Amazon 托管策略的更多信息，请参阅 《IAM 用户指南》中的Amazon 托管策略。

注意

此策略中特定于 KMS 密钥的权限（例如 kms:TagResource 和 kms:GetKeyRotationStatus）仅在该 KMS 密钥的密钥策略明确允许 Amazon Web Services 账户 使用 IAM policy 以控制对密钥的访问时才有效。要确认权限是否特定于 KMS 密钥，请参阅 Amazon KMS 权限 并在 Resources（资源）列中查找 KMS 密钥的值。

此策略授予高级用户对任何 KMS 密钥执行操作的权限，以及允许该操作的密钥策略。对于跨账户权限（例如 kms:DescribeKey 和 kms:ListGrants），这可能包括不可信 Amazon Web Services 账户 中的 KMS 密钥。有关详细信息，请参阅 IAM policy 的最佳实践 和 允许其他账户中的用户使用 KMS 密钥。要确认权限是否对其他账户中的 KMS 密钥有效，请参阅 Amazon KMS 权限 并查找 Cross-account use（跨账户使用）列中 Yes（是）的值。

为了让委托人能够毫无错误地查看Amazon KMS控制台，委托人需要标记：permis GetResources sion，该标签未包含在AWSKeyManagementServicePowerUser策略中。您可以在单独的 IAM policy 中允许此权限。

AWSKeyManagementServicePower 托管 IAM policy 必须包含以下权限。

  • 允许主体创建 KMS 密钥。由于此过程包括设置密钥策略，因此高级用户可以授予自己和其他人使用和管理他们所创建 KMS 密钥的权限。

  • 允许主体创建和删除所有 KMS 密钥上的别名和标签。更改标签或别名可以允许或拒绝使用和管理 KMS 密钥的权限。有关更多信息，请参阅 Amazon KMS 中的 ABAC。

  • 允许主体获取有关所有 KMS 密钥的详细信息，包括其密钥 ARN、加密配置、密钥策略、别名、标签和轮换状态。

  • 允许主体列出 IAM 用户、组和角色。

  • 此策略不允许主体使用或管理他们未创建的 KMS 密钥。但他们可以更改所有 KMS 密钥上的别名和标签，这可能会允许或拒绝其使用或管理 KMS 密钥的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateAlias",
                "kms:CreateKey",
                "kms:DeleteAlias",
                "kms:Describe*",
                "kms:GenerateRandom",
                "kms:Get*",
                "kms:List*",
                "kms:TagResource",
                "kms:UntagResource",
                "iam:ListGroups",
                "iam:ListRoles",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}