针对高级用户的 Amazon 托管策略 - Amazon Key Management Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

针对高级用户的 Amazon 托管策略

您可以使用 AWSKeyManagementServicePowerUser 托管式策略为您账户中的 IAM 主体授予高级用户的权限。高级用户可以创建 KMS 密钥、使用和管理他们创建的 KMS 密钥,以及查看所有 KMS 密钥和 IAM 身份。具有 AWSKeyManagementServicePowerUser 托管式策略的主体还可以从其他来源获取权限,包括密钥策略、其他 IAM 策略和授权。

AWSKeyManagementServicePowerUser 是一种 Amazon 托管式 IAM 策略。有关 Amazon 托管策略的更多信息,请参阅《IAM 用户指南》中的 Amazon 托管策略

注意

此策略中特定于 KMS 密钥的权限(例如 kms:TagResourcekms:GetKeyRotationStatus)仅在该 KMS 密钥的密钥策略明确允许 Amazon Web Services 账户 使用 IAM 策略以控制对密钥的访问时才有效。要确认权限是否特定于 KMS 密钥,请参阅 Amazon KMS 权限 并在 Resources(资源)列中查找 KMS 密钥的值。

此策略授予高级用户对任何 KMS 密钥执行操作的权限,以及允许该操作的密钥策略。对于跨账户权限(例如 kms:DescribeKeykms:ListGrants),这可能包括不可信 Amazon Web Services 账户 中的 KMS 密钥。有关详细信息,请参阅 IAM 策略的最佳实践允许其他账户中的用户使用 KMS 密钥。要确认权限是否对其他账户中的 KMS 密钥有效,请参阅 Amazon KMS 权限 并查找 Cross-account use(跨账户使用)列中 Yes(是)的值。

要允许主体正确查看 Amazon KMS 控制台,主体需要 tag:GetResources 权限,该权限不包含在 AWSKeyManagementServicePowerUser 策略中。您可以在单独的 IAM 策略中允许此权限。

AWSKeyManagementServicePowerUser 托管式 IAM 策略包括以下权限。

  • 允许主体创建 KMS 密钥。由于此过程包括设置密钥策略,因此高级用户可以授予自己和其他人使用和管理他们创建的 KMS 密钥的权限。

  • 允许主体创建和删除所有 KMS 密钥上的别名标签。更改标签或别名可以允许或拒绝使用和管理 KMS 密钥的权限。有关详细信息,请参阅Amazon KMS 中的 ABAC

  • 允许主体获取有关所有 KMS 密钥的详细信息,包括其密钥 ARN、加密配置、密钥策略、别名、标签和轮换状态

  • 允许主体列出 IAM 用户、组和角色。

  • 此策略不允许主体使用或管理他们未创建的 KMS 密钥。但他们可以更改所有 KMS 密钥上的别名和标签,这可能会允许或拒绝其使用或管理 KMS 密钥的权限。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:CreateAlias", "kms:CreateKey", "kms:DeleteAlias", "kms:Describe*", "kms:GenerateRandom", "kms:Get*", "kms:List*", "kms:TagResource", "kms:UntagResource", "iam:ListGroups", "iam:ListRoles", "iam:ListUsers" ], "Resource": "*" } ] }