Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

默认密钥策略

创建 KMS 密钥时，您可以为新的 KMS 密钥指定密钥策略。如果您未提供密钥策略，则 Amazon KMS 将为您创建一个。Amazon KMS 使用的默认密钥策略会有所不同，具体取决于密钥是在 Amazon KMS 控制台创建的，还是使用 Amazon KMS API 创建的。

以编程方式创建 KMS 密钥时采用的默认密钥策略

以编程方式使用 Amazon KMS API（包括使用Amazon 开发工具包、Amazon Command Line Interface 或 Amazon Tools for PowerShell）且不指定密钥策略创建 KMS 密钥时，Amazon KMS 将应用非常简单的默认密钥策略。此默认密钥策略具有一个策略语句，该语句授予拥有 KMS 密钥的 Amazon Web Services 账户 使用 IAM policy 的权限，以允许访问 KMS 密钥上的所有 Amazon KMS 操作。有关此策略语句的更多信息，请参阅允许访问 Amazon Web Services 账户 并启用 IAM policy。

通过 Amazon Web Services Management Console 创建 KMS 密钥时采用的默认密钥策略

使用 Amazon Web Services Management Console 创建 KMS 密钥时，密钥策略以允许访问 Amazon Web Services 账户 并启用 IAM policy 的策略语句开始。随后，控制台添加一个密钥管理员语句、一个密钥用户语句和（适用于大多数密钥类型）允许主体使用 KMS 密钥和其他 Amazon 服务的语句。您可以使用 Amazon KMS 控制台功能指定担任密钥管理员和密钥用户（或两者兼有）的 IAM 用户、IAM 角色和 Amazon Web Services 账户。

权限

允许访问 Amazon Web Services 账户 并启用 IAM policy

以下默认密钥策略语句至关重要。

以下密钥策略语句是以编程方式创建的 KMS 密钥的完整默认密钥策略。这是在 Amazon KMS 控制台中创建的 KMS 密钥的默认密钥策略中的第一个策略语句。

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

允许密钥管理员管理 KMS 密钥

控制台创建的默认密钥策略允许您选择账户中的 IAM 用户和角色，并使其成为密钥管理员。此语句称为密钥管理员语句。密钥管理员有权管理 KMS 密钥，但无权在加密操作中使用 KMS 密钥。在原定设置视图或策略视图中创建 KMS 密钥时，您可以将 IAM 用户和角色添加到密钥管理员列表。

以下示例在 Amazon KMS 控制台的原定设置视图中显示了密钥管理员语句。

以下示例是 Amazon KMS 控制台的策略视图中的密钥管理员语句。此密钥管理员语句适用于单区域对称加密 KMS 密钥。

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": "*"
}

最常见 KMS 密钥、单区域对称加密 KMS 密钥的原定设置密钥管理员语句允许以下权限。有关每个权限的详细信息，请参阅 Amazon KMS 权限。

当您使用 Amazon KMS 控制台创建 KMS 密钥时，控制台会将您指定的用户和角色添加到密钥管理员语句中的 Principal 元素。

这些权限中有很多都包含通配符 (*)，使用它可以允许以指定动词开头的所有权限。因此，在 Amazon KMS 添加新的 API 操作时，会自动允许密钥管理员使用它们。您不必更新密钥策略即可包含新操作。如果您希望将密钥管理员限制在一组固定的 API 操作中，则可以更改密钥策略。

 

在您创建特殊用途密钥时，Amazon KMS 将以下权限添加到原定设置的密钥管理员语句中。

允许密钥用户使用 KMS 密钥

控制台为 KMS 密钥创建的默认密钥策略允许您选择该账户以及外部 Amazon Web Services 账户中的 IAM 用户和 IAM 角色，并使其成为密钥用户。

控制台将两个策略语句添加到密钥用户的密钥策略中。

创建 KMS 密钥时，您可以将 IAM 用户、IAM 角色和其他 Amazon Web Services 账户 添加到密钥用户列表。您也可以使用控制台的默认密钥策略视图来编辑该列表，如下图所示。默认密钥策略视图可从密钥详细信息页面获取。有关允许其他 Amazon Web Services 账户 中的用户使用 KMS 密钥的更多信息，请参阅 允许其他账户中的用户使用 KMS 密钥。

单区域对称的原定设置密钥用户语句允许以下权限。有关每个权限的详细信息，请参阅 Amazon KMS 权限。

当您使用 Amazon KMS 控制台创建 KMS 密钥时，控制台会将您指定的用户和角色添加到各个密钥用户语句中的 Principal 元素。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

允许密钥用户使用 KMS 密钥进行加密操作

密钥用户有权在 KMS 密钥支持的所有加密操作中直接使用 KMS 密钥。他们还可以使用该DescribeKey操作在Amazon KMS控制台或使用 Amazon KMS API 操作来获取有关 KMS 密钥的详细信息。

默认情况下，Amazon KMS 控制台会将诸如以下示例的密钥用户语句添加到默认密钥策略中。由于支持的 API 操作不同，策略语句中针对对称加密 KMS 密钥、HMAC KMS 密钥、用于公有密钥加密的非对称 KMS 密钥以及用于签名和验证的非对称 KMS 密钥的操作略有不同。

这些语句中的操作赋予密钥用户以下权限。

允许密钥用户将 KMS 密钥与 Amazon 服务一起使用

控制台中的默认密钥策略还授予密钥用户在使用授权的 Amazon 服务中保护其数据所需的授权权限。Amazon 服务通常使用授权来获取使用 KMS 密钥的特定且有限的权限。

此密钥策略语句允许密钥用户在 KMS 密钥上创建、查看和撤消授权，但仅限授权操作请求来自与 Amazon KMS 集成的 Amazon 服务。kms: GrantIsFor AWSResource 策略条件不允许用户直接调用这些授权操作。当密钥用户允许时，Amazon 服务可以代表用户创建授权，从而允许该服务使用 KMS 密钥保护用户的数据。

密钥用户必须具备这些授权权限，才能一起使用 KMS 密钥和集成服务，但仅有这些权限还不够。密钥用户还必须具备使用集成服务的权限。有关授权用户访问与 Amazon KMS 集成的 Amazon 服务的详细信息，请查阅有关集成服务的文档。

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

例如，密钥用户可以通过以下方式对 KMS 密钥使用这些权限。

默认密钥策略允许密钥用户向所有使用授权的集成服务委托授权权限。但是，您可以创建自定义密钥策略，此策略将权限限制为指定的 Amazon 服务。有关更多信息，请参阅 kms: ViaService 条件键。