Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Bedingungsschlüssel für Nitro Enclaves
<a name="conditions-nitro-enclave"></a>

Die folgenden Zustandsschlüssel sind spezifisch für die Nitro Enclaves-Bescheinigung:

## km: RecipientAttestation:ImageSha384
<a name="conditions-kms-recipient-image-sha"></a>


| AWS KMS Schlüssel zum Zustand | Bedingungstyp | Werttyp | API-Operationen | Richtlinientyp | 
| --- | --- | --- | --- | --- | 
| `kms:RecipientAttestation:ImageSha384` | Zeichenfolge | Single-valued | `Decrypt`<br />`DeriveSharedSecret`<br />`GenerateDataKey`<br />`GenerateDataKeyPair`<br />`GenerateRandom` | Schlüsselrichtlinien und IAM-Richtlinien | 

Der `kms:RecipientAttestation:ImageSha384` Bedingungsschlüssel steuert den Zugriff auf `Decrypt``DeriveSharedSecret`,`GenerateDataKey`,`GenerateDataKeyPair`, und `GenerateRandom` mit einem KMS-Schlüssel, wenn der Bildauszug aus dem signierten Bestätigungsdokument in der Anforderung mit dem Wert im Bedingungsschlüssel übereinstimmt. Der `ImageSha384`-Wert entspricht PCR0 im Bescheinigungsdokument. Dieser Bedingungsschlüssel ist nur wirksam, wenn der `Recipient` Parameter in der Anforderung ein signiertes Bestätigungsdokument für eine Nitro-Enklave angibt. AWS 

Dieser Wert ist auch in [CloudTrailEreignissen](ct-nitro-enclave.md) für Anfragen an Nitro-Enklaven enthalten. AWS KMS 

Die folgende wichtige Richtlinienanweisung ermöglicht es der `data-processing` Rolle beispielsweise, den KMS-Schlüssel für [Decrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html) -,, [DeriveSharedSecret[GenerateDataKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKey.html)](https://docs.aws.amazon.com/kms/latest/APIReference/API_DeriveSharedSecret), [GenerateDataKeyPair](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKeyPair.html)- und -Operationen zu verwenden. [GenerateRandom](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateRandom.html) Der Bedingungsschlüssel `kms:RecipientAttestation:ImageSha384` erlaubt die Operationen nur, wenn der Bild-Digest-Wert (PCR0) des Bescheinigungsdokuments in der Anforderung mit dem Bild-Digest-Wert in der Bedingung übereinstimmt. Dieser Bedingungsschlüssel ist nur wirksam, wenn der `Recipient` Parameter in der Anforderung ein signiertes Bestätigungsdokument für eine AWS Nitro-Enklave angibt.

Wenn die Anfrage kein gültiges Bescheinigungsdokument aus einer AWS Nitro-Enklave enthält, wird die Genehmigung verweigert, da diese Bedingung nicht erfüllt ist.

```
{
  "Sid" : "Enable enclave data processing",
  "Effect" : "Allow",
  "Principal" : {
    "AWS" : "arn:aws:iam::111122223333:role/data-processing"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DeriveSharedSecret",
    "kms:GenerateDataKey",
    "kms:GenerateDataKeyPair",
    "kms:GenerateRandom"
  ],
  "Resource" : "*",
  "Condition": {
    "StringEqualsIgnoreCase": {
      "kms:RecipientAttestation:ImageSha384": "9fedcba8abcdef7abcdef6abcdef5abcdef4abcdef3abcdef2abcdef1abcdef1abcdef0abcdef1abcdef2abcdef3abcdef4abcdef5abcdef6abcdef7abcdef99"
    }
  }
}
```

## RecipientAttestation:PCR<km: PCR\_ID >
<a name="conditions-kms-recipient-pcrs"></a>


| AWS KMS Zustandstasten | Bedingungstyp | Werttyp | API-Operationen | Richtlinientyp | 
| --- | --- | --- | --- | --- | 
| `kms:RecipientAttestation:PCR<PCR_ID>` | Zeichenfolge | Single-valued | `Decrypt`<br />`DeriveSharedSecret`<br />`GenerateDataKey`<br />`GenerateDataKeyPair`<br />`GenerateRandom` | Schlüsselrichtlinien und IAM-Richtlinien | 

Der `kms:RecipientAttestation:PCR<PCR_ID>` Bedingungsschlüssel steuert den Zugriff auf`Decrypt`,`DeriveSharedSecret`, `GenerateDataKey``GenerateDataKeyPair`, und `GenerateRandom` mit einem KMS-Schlüssel nur, wenn die Plattformkonfigurationsregister (PCRs) aus dem signierten Bestätigungsdokument in der Anfrage mit den PCRs im Bedingungsschlüssel übereinstimmen. Dieser Bedingungsschlüssel ist nur wirksam, wenn der `Recipient` Parameter in der Anforderung ein signiertes Bestätigungsdokument aus einer Nitro-Enklave angibt. AWS 

Dieser Wert ist auch in [CloudTrailEreignissen](ct-nitro-enclave.md) enthalten, die Anfragen an Nitro-Enklaven darstellen. AWS KMS 

Verwenden Sie das folgende Format, um einen PCR-Wert anzugeben. Verketten Sie die PCR-ID mit dem Bedingungsschlüssel-Namen. Sie können eine PCR-ID angeben, die eine der [sechs Enklavenmessungen](https://docs.aws.amazon.com/enclaves/latest/user/set-up-attestation.html#where) identifiziert, oder eine benutzerdefinierte PCR-ID, die Sie für einen bestimmten Anwendungsfall definiert haben. Der PCR-Wert muss eine Hexadezimalzeichenfolge in Kleinbuchstaben von bis zu 96 Bytes sein.

```
"kms:RecipientAttestation:PCR{{PCR_ID}}": "{{PCR_value}}"
```

Der folgende Bedingungsschlüssel gibt beispielsweise einen bestimmten Wert für PCR1 an, der dem Hash des Kernels entspricht, der für die Enklave und den Bootstrap-Prozess verwendet wird.

```
kms:RecipientAttestation:PCR1: "abc1abcdef2abcdef3abcdef4abcdef5abcdef6abcdef7abcdef8abcdef9abcdef8abcdef7abcdef6abcdef5abcdef4abcdef3abcdef2abcdef1abcdef0abcde"
```

Die folgende Beispiel-Schlüsselrichtlinienanweisung erlaubt es der`data-processing` -Rolle, den KMS-Schlüssel für die Operation [Decrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html) zu verwenden.

Der Bedingungsschlüssel `kms:RecipientAttestation:PCR` in dieser Anweisung erlaubt die Produktion nur, wenn der PCR1-Wert im signierten Bescheinigungsdokument in der Anforderung mit dem `kms:RecipientAttestation:PCR1`-Wert in der Bedingung übereinstimmt. Verwenden des `StringEqualsIgnoreCase`-Richtlinienoperators, um einen Vergleich der PCR-Werte ohne Berücksichtigung der Groß-/Kleinschreibung zu erfordern.

Wenn die Anforderung kein Bescheinigungsdokument enthält, wird die Berechtigung verweigert, da diese Bedingung nicht erfüllt ist.

```
{
  "Sid" : "Enable enclave data processing",
  "Effect" : "Allow",
  "Principal" : {
    "AWS" : "arn:aws:iam::111122223333:role/data-processing"
  },
  "Action": "kms:Decrypt",
  "Resource" : "*",
  "Condition": {
    "StringEqualsIgnoreCase": {
      "kms:RecipientAttestation:PCR1": "abc1de4f2dcf774f6e3b679f62e5f120065b2e408dcea327bd1c9dddaea6664e7af7935581474844767453082c6f1586116376cede396a30a39a611b9aad7966c87"
    }
  }
}
```