将服务相关角色用于 Amazon KMS - Amazon Key Management Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

将服务相关角色用于 Amazon KMS

Amazon Key Management Service 使用 Amazon Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特类型的 IAM 角色,它与 Amazon KMS 直接相关。服务相关角色由 Amazon KMS 定义,并包含该服务代表您调用其他 Amazon 服务所需的全部权限。

服务相关角色使 Amazon KMS 的设置更轻松,因为您不必手动添加必要的权限。Amazon KMS 定义其服务相关角色的权限,除非另行定义,否则仅 Amazon KMS 可以担任其角色。定义的权限包括信任策略和权限策略,以及不能附加到任何其他 IAM 实体的权限策略。

只有在先删除相关资源后,才能删除服务相关角色。这将保护您的 Amazon KMS 资源,因为您不会无意中删除对资源的访问权限。

有关支持服务相关角色的其他服务的信息,请参阅使用 IAM 的 Amazon 服务并查找服务相关角色列中显示为的服务。选择,可转到查看该服务的服务相关角色文档的链接。

Amazon KMS 自定义密钥存储的服务相关角色权限

Amazon KMS使用名为的服务相关角色AWSServiceRoleForKeyManagementServiceCustomKeyStores来支持自定义密钥存储。此服务相关角色授予 Amazon KMS 权限以查看您的 Amazon CloudHSM 集群并创建网络基础设施,以支持自定义密钥存储与其 Amazon CloudHSM 集群之间的连接。Amazon KMS 将在您创建自定义密钥存储时创建此角色。您无法直接创建此服务相关角色。

AWSServiceRoleForKeyManagementServiceCustomKeyStores 服务相关角色信任 cks.kms.amazonaws.com 来代入该角色。因此,只有 Amazon KMS 才能代入此服务相关角色。

此角色中的权限限制为 Amazon KMS 为了将自定义密钥存储连接到 Amazon CloudHSM 集群而执行的操作。它不会向 Amazon KMS 提供任何额外权限。例如,Amazon KMS 无权创建、管理或删除您的 Amazon CloudHSM 集群、HSM 或备份。

有关 AWSServiceRoleForKeyManagementServiceCustomKeyStores 角色的更多信息,包括权限列表以及有关如何查看角色、编辑角色描述、删除角色和让 Amazon KMS 为您重新创建角色的说明,请参阅授权 Amazon KMS 管理 Amazon CloudHSM 和 Amazon EC2 资源

Amazon KMS 多区域密钥的服务相关角色权限

Amazon KMS使用名为的服务相关角色AWSServiceRoleForKeyManagementServiceMultiRegionKeys来支持多区域密钥。此服务相关角色授予 Amazon KMS 权限以将多区域主密钥的密钥材料的任何更改同步到其副本密钥。Amazon KMS 将仅在您创建多区域主密钥时创建此角色。您无法直接创建此服务相关角色。

AWSServiceRoleForKeyManagementServiceMultiRegionKeys 服务相关角色信任 mrk.kms.amazonaws.com 来代入该角色。因此,只有 Amazon KMS 才能代入此服务相关角色。此角色的权限限制为 Amazon KMS 为了保持相关多区域密钥中的密钥材料同步而执行的操作。它不会向 Amazon KMS 提供任何额外权限。

有关 AWSServiceRoleForKeyManagementServiceMultiRegionKeys 角色的更多信息,包括权限列表以及有关如何查看角色、编辑角色描述、删除角色和让 Amazon KMS 为您重新创建角色的说明,请参阅授权 Amazon KMS 同步多区域密钥

Amazon KMS 更新了 Amazon 托管式策略

查看有关 Amazon KMS 的 Amazon 托管策略更新的详细信息(从该服务开始跟踪这些更改开始)。要获得有关此页面更改的自动提示,请订阅 Amazon KMS 文档历史记录 页面上的 RSS 源。

更改 描述 日期

AWSKeyManagementServiceCustomKeyStoresServiceRolePolicy – 对现有策略的更新

Amazon KMS添加了ec2:DescribeVpcsec2:DescribeNetworkAcls、和ec2:DescribeNetworkInterfaces权限以监控包含您的Amazon CloudHSM集群的 VPC 中的变化,以便在出现故障时Amazon KMS可以提供清晰的错误消息。

2023 年 11 月 10 日

Amazon KMS 开启了跟踪更改

Amazon KMS 为其 Amazon 托管式策略开启了跟踪更改。

2023 年 11 月 10 日