Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

默认密钥策略

创建KMS密钥时，您可以为新密钥指定KMS密钥策略。如果您不提供一个，请为您 Amazon KMS 创建一个。 Amazon KMS 使用的默认密钥策略会有所不同，具体取决于您是在 Amazon KMS 控制台中创建密钥还是使用密钥 Amazon KMS API。

以编程方式创建密钥时的默认密KMS钥策略

当您使用 Amazon KMS API（包括使用Amazon SDKs、Amazon Command Line Interface或 Amazon Tools for PowerShell）以编程方式创建KMS密钥时，如果没有指定密钥策略，则会 Amazon KMS 应用非常简单的默认密钥策略。此默认密钥策略有一个策略声明，该声明向拥有KMS密钥的用户授予使用IAM策略的权限，以允许访问对KMS密钥的所有 Amazon KMS 操作。 Amazon Web Services 账户 有关此策略语句的更多信息，请参阅允许访问 Amazon Web Services 账户 并启用IAM策略。

使用创建密钥时的默认密KMS钥策略 Amazon Web Services Management Console

使用创建KMS密钥时 Amazon Web Services Management Console，密钥策略以允许访问 Amazon Web Services 账户 并启用IAM策略的策略声明开头。然后，控制台会添加密钥管理员声明、密钥用户语句以及（对于大多数密钥类型）允许委托人将该KMS密钥用于其他 Amazon 服务的声明。您可以使用 Amazon KMS 控制台的功能来指定IAM用户、IAMroles、 Amazon Web Services 账户 谁是密钥管理员以及谁是关键用户（或两者兼而有之）。

权限

允许访问 Amazon Web Services 账户 并启用IAM策略

以下默认密钥策略语句至关重要。

以下密钥策略声明是以编程方式创建的密KMS钥的完整默认密钥策略。这是 Amazon KMS 控制台中创建的密钥的默认KMS密钥策略中的第一条策略声明。

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

允许密钥管理员管理密KMS钥

控制台创建的默认密钥策略允许您选择账户中的IAM用户和角色，并使他们成为密钥管理员。此语句称为密钥管理员语句。密钥管理员有权管理KMS密钥，但无权在加密操作中使用KMS密钥。在默认视图或策略视图中创建密钥时，可以将IAM用户和角色添加到KMS密钥管理员列表中。

以下示例在 Amazon KMS 控制台的原定设置视图中显示了密钥管理员语句。

以下示例是 Amazon KMS 控制台的策略视图中的密钥管理员语句。此密钥管理员声明适用于单区域对称加密密钥KMS。

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion",
    "kms:RotateKeyOnDemand"
  ],
  "Resource": "*"
}

最常用的密钥（单区域对称加密KMS密钥）的默认KMS密钥管理员语句允许以下权限。有关每个权限的详细信息，请参阅 Amazon KMS 权限。

当您使用 Amazon KMS 控制台创建KMS密钥时，控制台会将您指定的用户和角色添加到密钥管理员语句中的Principal元素中。

这些权限中有很多都包含通配符 (*)，使用它可以允许以指定动词开头的所有权限。因此，在 Amazon KMS 添加新API操作时，自动允许密钥管理员使用它们。您不必更新密钥策略即可包含新操作。如果您希望将密钥管理员限制为一组固定的API操作，则可以更改密钥策略。

 

Amazon KMS 在创建特殊用途密钥时，将以下权限添加到默认密钥管理员语句中。

允许密钥用户使用密KMS钥

控制台为KMS密钥创建的默认密钥策略允许您选择账户中的IAM用户和IAM角色以及外部用户和角色 Amazon Web Services 账户，并使其成为密钥用户。

控制台将两个策略语句添加到密钥用户的密钥策略中。

创建密钥时，您可以将IAM用户、IAM角色和其他 Amazon Web Services 账户 人添加到密钥用户列表中KMS。您也可以使用控制台的默认密钥策略视图来编辑该列表，如下图所示。默认密钥策略视图可从密钥详细信息页面获取。有关允许其他 Amazon Web Services 账户 用户使用KMS密钥的更多信息，请参阅允许其他账户中的用户使用密KMS钥。

单区域对称的原定设置密钥用户语句允许以下权限。有关每个权限的详细信息，请参阅 Amazon KMS 权限。

当您使用 Amazon KMS 控制台创建KMS密钥时，控制台会将您指定的用户和角色添加到每个密钥用户语句中的Principal元素中。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

允许密钥用户使用密KMS钥进行加密操作

密钥用户有权在KMS密钥支持的所有加密操作中直接使用该KMS密钥。他们还可以使用该DescribeKey操作在 Amazon KMS 控制台中或通过操作来获取有关KMS密钥的 Amazon KMS API详细信息。

默认情况下， Amazon KMS 控制台会将密钥用户语句添加到默认密钥策略中，如下例所示。由于它们支持不同的API操作，因此对称加密密钥、KMS密钥、用于公钥加密的非对称HMACKMSKMS密钥以及用于签名和验证的非对称KMS密钥的策略声明中的操作略有不同。

这些语句中的操作赋予密钥用户以下权限。

允许密钥用户在 Amazon 服务中使用KMS密钥

控制台中的默认密钥策略还为密钥用户提供了在使用授权的 Amazon 服务中保护其数据所需的授予权限。 Amazon 服务通常使用授权来获得使用KMS密钥的特定和有限权限。

此密钥策略声明允许密钥用户创建、查看和撤消对KMS密钥的授权，但前提是授权操作请求来自与 Amazon KMS集成的Amazon 服务。kms: GrantIsFor AWSResource 策略条件不允许用户直接调用这些授权操作。当密钥用户允许时， Amazon 服务可以代表用户创建授权，允许该服务使用KMS密钥来保护用户的数据。

密钥用户需要这些授予权限才能将其KMS密钥用于集成服务，但这些权限还不够。密钥用户还必须具备使用集成服务的权限。有关向用户提供与集成的 Amazon 服务的访问权限的详细信息 Amazon KMS，请参阅集成服务的文档。

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

例如，密钥用户可以通过以下方式对KMS密钥使用这些权限。

默认密钥策略允许密钥用户向所有使用授权的集成服务委托授权权限。但是，您可以创建自定义密钥策略，将权限限制为指定 Amazon 服务。有关更多信息，请参阅 kms: ViaService 条件键。