Amazon 全局条件键 - Amazon Key Management Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon 全局条件键

Amazon 定义全局条件密钥,这是一组IAM用于访问控制的所有 Amazon 服务的策略条件密钥。 Amazon KMS 支持所有全局条件键。您可以在 Amazon KMS 关键策略和IAM策略中使用它们。

例如,只有当请求中的委托人由条件键值中的 Amazon 资源名称 Amazon KMS key (KMS) 表示时,您才可以使用 aws: PrincipalArn 全局条件密钥允许访问(密钥ARN)。要在中支持基于属性的访问控制 (ABAC) Amazon KMS,您可以在IAM策略中使用 a ws:ResourceTag/tag-key 全局条件密钥来允许访问带有特定标签的KMS密钥。

在委托人为 Amazon 服务委托人的保单中,为了防止某项Amazon 服务被用作混淆的副手,您可以使用 aws:SourceArnaws:SourceAccount全局条件键。有关详细信息,请参阅使用 aws:SourceArn 或 aws:SourceAccount 条件键

有关 Amazon 全局条件密钥的信息,包括可用的请求类型,请参阅IAM用户指南中的Amazon 全局条件上下文密钥。有关在IAM策略中使用全局条件密钥的示例,请参阅IAM用户指南中的控制请求访问和控制标签密钥。

以下主题为基于 IP 地址和VPC端点使用条件密钥提供了特殊指导。

在具有 Amazon KMS 权限的策略中使用 IP 地址条件

您可以使用 Amazon KMS 在集成 Amazon 服务中保护您的数据。但是,在允许或拒绝访问的同一策略声明中指定 IP 地址aws:SourceIp条件运算符或条件密钥时,请谨慎行事 Amazon KMS。例如,“Amazon 基于源 IP 拒绝访问” 中的Amazon策略将 Amazon 操作限制为来自指定 IP 范围的请求。

请考虑以下情况:

  1. 您可以将类似于 “Amazon 根据源 IP 拒绝访问” 中所示的策略附加到IAM身份。Amazon您将aws:SourceIp 条件键的值设置为该用户公司的 IP 地址范围。该IAM身份还附有其他政策,允许其使用亚马逊EBSEC2、亚马逊和 Amazon KMS。

  2. 该身份尝试将加密EBS卷附加到EC2实例。即使用户有权使用所有相关服务,此操作也会失败并显示授权错误。

第 2 步失败,因为解密卷加密数据密钥的请求来自与 Ama EC2 zon 基础设施关联的 IP 地址。 Amazon KMS 要想成功,请求必须来自始发用户的 IP 地址。由于步骤 1 中的策略明确拒绝来自指定 IP 地址以外的 IP 地址的所有请求,因此 Amazon EC2 被拒绝解密EBS卷的加密数据密钥。

此外,当请求来自 Amazon VPC 终端节点时,aws:sourceIP条件密钥无效。要限制对VPC终端节点(包括终Amazon KMS VPC端节点)的请求,请使用aws:sourceVpceaws:sourceVpc条件键。有关更多信息,请参阅 VPC Amazon VPC 用户指南中的终端节点-控制终端节点的使用

在具有 Amazon KMS 权限的策略中使用VPC终端节点条件

Amazon KMS 支持由提供支持的亚马逊虚拟私有云 (AmazonVPC) 终端节点Amazon PrivateLink。当请求来自VPC或使用VPC终端节点时,您可以在关键IAM策略和策略中使用以下全局条件密钥来控制对 Amazon KMS 资源的访问。有关详细信息,请参阅使用 VPC 端点控制对 Amazon KMS 资源的访问

  • aws:SourceVpc限制对来自指定请求的访问权限VPC。

  • aws:SourceVpce限制对来自指定VPC端点的请求的访问。

如果您使用这些条件密钥来控制对KMS密钥的访问,则可能会无意中拒绝访问代表您使用的 Amazon Amazon KMS 服务。

请注意避免出现类似 IP 地址条件键示例的情况。如果您将KMS密钥请求限制为VPC或VPC终端节点,则 Amazon KMS 从 Amazon S3 或 Amazon 等集成服务对的调用可能会失败。EBS即使源请求最终源于VPC或来自VPC端点,也可能发生这种情况。