Uso de políticas de IAM con AWS KMS

Puede usar políticas de IAM, junto con políticas de claves, concesiones y políticas de punto de enlace de la VPC para controlar el acceso a su AWS KMS keys en AWS KMS.

nota

Para utilizar una política de IAM a fin de controlar el acceso a una clave KMS, la política de claves de la clave KMS debe conceder permiso a la cuenta para utilizar políticas de IAM. En concreto, la política de claves debe incluir la declaración de política que habilita las políticas de IAM.

En esta sección se explica cómo utilizar las políticas de IAM para controlar el acceso a las operaciones de AWS KMS. Para obtener más información sobre IAM, consulte la Guía del usuario de IAM.

Todas las claves KMS deben tener una política de claves. Las políticas de IAM son opcionales. Para utilizar una política de IAM a fin de controlar el acceso a una clave KMS, la política de claves de la clave KMS debe conceder permiso a la cuenta para utilizar políticas de IAM. En concreto, la política de claves debe incluir la declaración de política que habilita las políticas de IAM.

Las políticas de IAM pueden controlar el acceso a cualquier operación de AWS KMS. A diferencia de las políticas de claves, las políticas de IAM pueden controlar el acceso a varias claves KMS y proporcionar permisos para las operaciones de varios servicios de AWS relacionados. Sin embargo, las políticas de IAM son particularmente útiles para controlar el acceso a operaciones, como CreateKey, que no pueden controlarse mediante una política de claves porque no implican ninguna clave KMS en particular.

Si accede a AWS KMS a través de un punto de enlace de Amazon Virtual Private Cloud (Amazon VPC), también puede utilizar una política de punto de enlace de la VPC para limitar el acceso a sus recursos de AWS KMS cuando se utiliza el punto de enlace. Por ejemplo, cuando utilice el punto de enlace de la VPC, solo puede permitir las entidades principales de su Cuenta de AWS accedan a las claves administradas por el cliente. Para obtener más información, consulte las políticas de punto de conexión de VPC.

Para obtener ayuda sobre cómo escribir y dar formato a un documento de política JSON, consulte la Referencia de políticas JSON de IAM en la Guía del usuario de IAM.

Puede las políticas de IAM de las siguientes formas:

• Adjuntar una política de permisos a un rol para federación o permisos en varias cuentas: puede adjuntar una política de IAM a un rol de IAM para habilitar la identidad federada, permitir los permisos en varias cuentas o conceder permisos a las aplicaciones que se ejecutan en instancias EC2. Para obtener más información sobre los diferentes casos de uso para roles de IAM, consulte Roles de IAM en la Guía del usuario de IAM.

• Asociar una política de permisos a un usuario o grupo: puede adjuntar una política que permita a un usuario o grupo de usuarios llamar a las operaciones de AWS KMS. Sin embargo, las prácticas recomendadas de IAM recomiendan utilizar identidades con credenciales temporales, como roles de IAM, siempre que sea posible.

En el siguiente ejemplo se muestra una política de IAM con permisos de AWS KMS. Esta política permite a las identidades de IAM a las que está asociada obtener todas las claves KMS y alias.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "kms:ListKeys",
      "kms:ListAliases"
    ],
    "Resource": "*"
  }
}

Al igual que todas las políticas de IAM, esta política no tiene ningún elemento Principal. Cuando asocia una política de IAM a una identidad de IAM, esa identidad obtiene los permisos especificados en la política.

Para ver una tabla con todas las acciones de API de AWS KMS y los recursos a los que se aplican, consulte la Referencia de permisos.

Conceder permiso a varias entidades principales de IAM para acceder a una clave KMS

Los grupos de IAM no son entidades principales válidas en una política de claves. Para permitir que varios usuarios y roles obtengan acceso a una clave KMS, realice una de las acciones siguientes:

• Utilice un rol de IAM como entidad principal en la política clave. Varios usuarios autorizados pueden asumir el rol según sea necesario. Para obtener más información, consulte la sección Roles de IAM en la Guía del usuario de IAM.

  Si bien puede incluir varios usuarios de IAM en una política clave, no se recomienda esta práctica porque requiere que actualice la política clave cada vez que cambia la lista de usuarios autorizados. Además, las mejores prácticas de IAM desaconsejan el uso de usuarios de IAM con credenciales a largo plazo. Para obtener más información, consulte la sección Prácticas recomendadas de seguridad de IAM en la Guía del usuario de IAM;.

• Utilice una política de IAM para conceder permisos a un grupo de IAM. Para ello, asegúrese de que la política de claves incluya la declaración que permite a las políticas de IAM permitir el acceso a la clave KMS, cree una política de IAM que permita el acceso a la clave KMS y, a continuación, adjunte dicha política a un grupo de IAM que contenga los usuarios de IAM autorizados. Con este enfoque, no es necesario cambiar ninguna política cuando cambie la lista de usuarios autorizados. En su lugar, solo debe agregar o eliminar dichos usuarios del grupo de IAM apropiado. Para obtener más información, consulte los grupos de usuarios de IAM en la Guía del usuario de IAM

Para obtener más información sobre cómo funcionan las políticas de AWS KMS y las políticas de IAM de forma conjunta, consulte Solución de problemas de permisos de AWS KMS.