本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Amazon 全局条件键
Amazon 定义全局条件键，它是一组策略条件键，适用于使用 IAM 进行访问控制的所有 Amazon 服务。 Amazon KMS 支持所有全局条件键。您可以在 Amazon KMS 密钥策略和 IAM policy 中使用它们。
例如，仅当请求中的委托人由条件键值中的 Amazon Resource Name Amazon KMS key (ARN) 表示时，才可以使用 aws: PrincipalArn 全局条件键来允许访问（KMS 密钥）。要在中支持基于属性的访问控制 (AB AC) Amazon KMS，您可以在 IAM 策略中使用 aws:ResourceTag/tag-key 全局条件密钥来允许访问带有特定标签的 KMS 密钥。
在委托人为 Amazon 服务主体的策略中，为了防止Amazon 服务被用作混淆的副手，您可以使用aws:SourceArn或aws:SourceAccount全局条件键。有关更多信息，请参阅 使用 aws:SourceArn 或 aws:SourceAccount 条件键。
有关 Amazon 全局条件键（包括它们在其中可用的请求类型）的信息，请参阅 IAM 用户指南中的Amazon 全局条件上下文键。有关在 IAM policy 中使用全局条件键的示例，请参阅 IAM 用户指南中的控制对请求的访问和控制标签密钥。
以下主题提供有关使用基于 IP 地址和 VPC 终端节点的条件键的特殊指导。
在具有 Amazon KMS 权限的策略中使用 IP 地址条件
您可以使用 Amazon KMS 在集成 Amazon 服务中保护您的数据。但是，在允许或拒绝访问的同一个策略语句中指定 IP 地址aws:SourceIp条件运算符或条件键时，请务必小心 Amazon KMS。例如，Amazon： Amazon 基于源 IP 拒绝对的访问中的策略将 Amazon 操作限制为来自指定 IP 范围的请求。
请考虑以下情况：
-
您将与 Amazon： Amazon 基于源 IP 拒绝对的访问中所示策略类似的策略附加到 IAM 身份。您将
aws:SourceIp条件键的值设置为该用户公司的 IP 地址范围。此 IAM 身份还附加了允许使用 Amazon EBS、Amaz EC2 on 和 Amazon KMS的其他策略。 -
该身份试图将一个加密的 EBS 卷挂载到 EC2 实例。即使用户有权使用所有相关服务，此操作也会失败并显示授权错误。
步骤 2 失败。因为要求 Amazon KMS 解密卷的加密数据密钥的请求来自与 Ama EC2 zon 基础设施关联的 IP 地址。要想成功，请求必须来自始发用户的 IP 地址。由于步骤 1 中的策略明确拒绝绝除来自指定 IP 地址以外的所有请求，因此将拒绝 Amazon EC2 对 EBS 卷的加密数据密钥进行解密。
此外，当请求来自 Amazon VPC 终端节点时，aws:sourceIP 条件键也不起作用。要限制对 VPC 终端节点（包括 Amazon KMS VPC 终端节点）的请求，请使用 aws:sourceVpce 或 aws:sourceVpc 条件键。有关更多信息，请参阅 Amazon VPC 用户指南 中的 VPC 终端节点 - 控制终端节点的使用。
在具有 Amazon KMS 权限的策略中使用 VPC 终端节点条件
Amazon KMS 支持由提供支持的亚马逊虚拟私有云（亚马逊 VPC）终端节点Amazon PrivateLink。当请求来自 VPC 或使用 VPC 终端节点时，您可以使用密钥策略和 IAM policy 中的以下全局条件键以控制对 Amazon KMS 资源的访问。有关更多信息，请参阅 使用 VPC 终端节点控制对 Amazon KMS 资源的访问。
-
aws:SourceVpc将访问限制为来自指定 VPC 的请求。 -
aws:SourceVpce将访问限制为来自指定 VPC 终端节点的请求。
如果您使用这些条件键来控制对 KMS 密钥的访问，那么您可能会意外拒绝访问代表您使用 Amazon KMS 的 Amazon 服务。
请注意避免出现类似 IP 地址条件键示例的情况。如果您将对 KMS 密钥的请求限制为 VPC 或 VPC 终端节点，则 Amazon KMS 从集成服务（如 Amazon S3 或 Amazon EBS）调用可能会失败。即使源请求最终来源于 VPC 或 VPC 终端节点，也会发生这种情况。