AWS Key Management Service

开发人员指南

AWS 文档 » AWS KMS » 开发人员指南 » AWS KMS 的身份验证和访问控制 » 使用 AWS KMS 中的密钥策略 » 更改密钥策略

更改密钥策略

要在 AWS KMS 中更改客户主密钥 (CMK) 的权限，请更改 CMK 的密钥策略。

当更改密钥策略时，请注意以下规则：

如何更改密钥策略

您可以通过三种不同的方式更改密钥策略，以下各部分将分别介绍每一种方式。

使用 AWS 管理控制台默认视图

您可以使用控制台中名为默认视图的图形界面来更改密钥策略。

如果以下步骤与您在此控制台中看到的内容不一致，可能意味着，此密钥策略不是由此控制台创建的。也可能意味着，修改此密钥策略的方式不受控制台的默认视图的支持。在这种情况下，请按照使用 AWS 管理控制台策略视图或使用 AWS KMS API中的步骤操作。

使用 AWS 管理控制台策略视图

您可以使用控制台的策略视图更改密钥策略文档。

使用 AWS KMS API

您可以使用 AWS KMS API 更改密钥策略文档。以下步骤使用 AWS KMS HTTP API。您可以使用 AWS 开发工具包或 AWS 命令行工具执行相同的操作，这通常会比使用 HTTP API 简单。有关其他开发工具包和工具的操作和语法，请查阅该特定开发工具包或工具的参考文档。有关使用AWS SDK for Java的示例代码，请参阅使用密钥策略。

更改密钥策略文档 (KMS API)

1. 使用 GetKeyPolicy 检索现有的密钥策略文档，然后将该密钥策略文档保存为一个文件。

2. 在您的首选文本编辑器中打开该密钥策略文档，编辑该密钥策略文档，然后保存文件。

3. 使用 PutKeyPolicy 将已更新的密钥策略文档应用到 CMK。

允许多位 IAM 用户访问 CMK

IAM 组不是密钥策略中的有效委托人。要允许多位 IAM 用户访问 CMK，请执行以下操作之一：

有关 AWS KMS 密钥策略和 IAM 策略如何协同工作的更多信息，请参阅密钥访问故障排除。

允许外部 AWS 账户访问 CMK

您可以允许一个 AWS 账户中的 IAM 用户或角色访问另一个账户中的 CMK。例如，假定账户 111122223333 中的用户或角色需要使用账户 444455556666 中的 CMK。要允许该操作，您必须做两件事情：

单独执行其中任何一个步骤，都不能授予跨账户访问 CMK 的权限 — 您必须完成两个步骤。

更改 CMK 的密钥策略以允许使用外部账户

要允许一个 AWS 账户中的 IAM 用户或角色使用另一个账户中的 CMK，您首先要将外部账户（根用户）添加到 CMK 的密钥策略中。请注意，请勿将单个 IAM 用户或角色添加到密钥策略中，只有外部账户才能拥有这些用户或角色。

确定您想要向外部账户授予的权限：

有关将外部账户添加到密钥策略文档的 Principal 元素的 JSON 语法示例，请参阅允许密钥用户使用 CMK 的默认控制台密钥策略中的策略语句。

添加或更改 IAM 策略以允许访问另一个 AWS 账户中的 CMK

将外部账户添加到 CMK 的密钥策略后，请为外部账户中的用户或角色添加 IAM 策略（或更改现有策略）。在此场景中，账户 111122223333 中的用户或角色需要使用账户 444455556666 中的 CMK。要允许该操作，请在账户 111122223333 中创建 IAM 策略以允许访问账户 444455556666 中的 CMK，然后将该策略附加到账户 111122223333 中的用户或角色。以下示例显示了一个策略，该策略允许访问账户 444455556666 中的 CMK。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUseOfCMKInAccount444455556666",
      "Effect": "Allow",
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d"
    },
    {
      "Sid": "AllowUseofCMKToCreateEncryptedResourcesInAccount444455556666",
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d",
      "Condition": {
        "Bool": {
          "kms:GrantIsForAWSResource": true
        }
      }
    }
  ]
}

该策略允许账户 111122223333 中的用户和角色直接使用账户 444455556666 中的 CMK 进行加密和解密，并将自己的一部分权限委派给某些与 AWS KMS 集成的 AWS 服务，尤其是使用授权的服务。请注意有关该策略的以下详细信息：

有关使用 IAM 策略的更多信息，请参阅使用 IAM 策略。

本页内容：

• 如何更改密钥策略
• 允许多位 IAM 用户访问 CMK
• 允许外部 AWS 账户访问 CMK