Kebijakan kunci KMS yang diperlukan untuk digunakan dengan volume EBS terenkripsi di AWS PCS

AWS PCS menggunakan peran terkait layanan untuk mendelegasikan izin ke orang lain. Layanan AWS Per AWS an terkait layanan PCS telah ditentukan sebelumnya dan mencakup izin yang diperlukan AWS PCS untuk memanggil orang lain Layanan AWS atas nama Anda. Izin yang telah ditentukan sebelumnya juga mencakup akses ke kunci yang dikelola pelanggan Kunci yang dikelola AWS tetapi tidak ke kunci yang dikelola pelanggan Anda.

Topik ini menjelaskan cara mengatur kebijakan kunci yang diperlukan untuk meluncurkan instans saat Anda menentukan kunci yang dikelola pelanggan untuk enkripsi Amazon EBS.

catatan

AWS PCS tidak memerlukan otorisasi tambahan untuk menggunakan default Kunci yang dikelola AWS untuk melindungi volume terenkripsi di akun Anda.

Daftar Isi

• Gambaran umum

• Konfigurasikan kebijakan utama

• Contoh 1: Bagian kebijakan utama yang memungkinkan akses ke kunci yang dikelola pelanggan

• Contoh 2: Bagian kebijakan utama yang memungkinkan akses lintas akun ke kunci yang dikelola pelanggan

• Mengedit kebijakan utama di AWS KMS konsol

Gambaran umum

Anda dapat menggunakan berikut ini AWS KMS keys untuk enkripsi Amazon EBS saat AWS PCS meluncurkan instans:

• Kunci yang dikelola AWS— Kunci enkripsi di akun Anda yang dibuat, dimiliki, dan dikelola Amazon EBS. Ini adalah kunci enkripsi default untuk akun baru. Amazon EBS menggunakan enkripsi Kunci yang dikelola AWS untuk kecuali Anda menentukan kunci yang dikelola pelanggan.

• Kunci yang dikelola pelanggan — Kunci enkripsi khusus yang Anda buat, miliki, dan kelola. Untuk informasi selengkapnya, lihat Membuat kunci KMS di Panduan Peng AWS Key Management Service embang.

  catatan

  Kuncinya harus simetris. Amazon EBS tidak mendukung kunci yang dikelola pelanggan asimetris.

Anda mengonfigurasi kunci yang dikelola pelanggan saat membuat snapshot terenkripsi atau template peluncuran yang menentukan volume terenkripsi, atau saat Anda memilih untuk mengaktifkan enkripsi secara default.

Konfigurasikan kebijakan utama

Kunci KMS Anda harus memiliki kebijakan kunci yang memungkinkan AWS PCS meluncurkan instans dengan volume Amazon EBS yang dienkripsi dengan kunci yang dikelola pelanggan.

Gunakan contoh di halaman ini untuk mengonfigurasi kebijakan kunci untuk memberikan AWS PCS akses ke kunci yang dikelola pelanggan Anda. Anda dapat mengubah kebijakan kunci kunci yang dikelola pelanggan saat membuat kunci atau di lain waktu.

Kebijakan utama harus memiliki pernyataan berikut:

• Pernyataan yang memungkinkan identitas IAM yang ditentukan dalam Principal elemen untuk menggunakan kunci yang dikelola pelanggan secara langsung. Ini termasuk izin untuk melakukan AWS KMS Encrypt,Decrypt,ReEncrypt*,GenerateDataKey*, dan DescribeKey operasi pada kunci.

• Pernyataan yang memungkinkan identitas IAM yang ditentukan dalam Principal elemen untuk menggunakan CreateGrant operasi untuk menghasilkan hibah yang mendelegasikan subset dari izinnya sendiri untuk Layanan AWS yang terintegrasi dengan AWS KMS atau prinsipal lain. Ini memungkinkan mereka menggunakan kunci untuk membuat sumber daya terenkripsi atas nama Anda.

Jangan mengubah pernyataan yang ada dalam kebijakan saat menambahkan pernyataan kebijakan baru ke kebijakan utama Anda.

Untuk informasi selengkapnya, lihat:

• buat-kunci dalam Referensi Perintah AWS CLI

• put-key-policy di Referensi Perintah AWS CLI

• Temukan ID kunci dan kunci ARN di Panduan Peng AWS Key Management Service embang

• Service-linked peran untuk AWS PCS

• Enkripsi Amazon EBS di Panduan Pengguna Amazon EBS

• AWS Key Management Servicedalam Panduan AWS Key Management Service Pengembang

Contoh 1: Bagian kebijakan utama yang memungkinkan akses ke kunci yang dikelola pelanggan

Tambahkan pernyataan kebijakan berikut ke kebijakan utama kunci yang dikelola pelanggan. Ganti contoh ARN dengan ARN dari peran AWSServiceRoleForPCS terkait layanan Anda. Kebijakan contoh ini memberikan izin role (AWSServiceRoleForPCS) terkait layanan AWS PCS untuk menggunakan kunci yang dikelola pelanggan.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Contoh 2: Bagian kebijakan utama yang memungkinkan akses lintas akun ke kunci yang dikelola pelanggan

Jika Anda membuat kunci yang dikelola pelanggan di akun yang berbeda dari cluster AWS PCS Anda, Anda harus menggunakan hibah yang dikombinasikan dengan kebijakan kunci untuk mengizinkan akses lintas akun ke kunci tersebut.

Untuk memberikan akses ke kunci

1. Tambahkan pernyataan kebijakan berikut ke kebijakan kunci kunci yang dikelola pelanggan. Ganti contoh ARN dengan ARN dari akun lain. Ganti 111122223333 dengan ID akun aktual tempat Anda ingin membuat cluster AWS PCS. Akun AWS Ini memungkinkan Anda untuk memberikan izin kepada pengguna atau peran IAM dalam akun yang ditentukan untuk membuat hibah untuk kunci menggunakan perintah CLI berikut. Secara default, pengguna tidak memiliki akses ke kunci.

   {.
      "Sid": "Allow external account 111122223333 use of the customer managed key",
      "Effect": "Allow",
      "Principal": {
          "AWS": [
              "arn:aws:iam::111122223333:root"
          ]
      },
      "Action": [
          "kms:Encrypt",
          "kms:Decrypt",
          "kms:ReEncrypt*",
          "kms:GenerateDataKey*",
          "kms:DescribeKey"
      ],
      "Resource": "*"
   }

   {
      "Sid": "Allow attachment of persistent resources in external account 111122223333",
      "Effect": "Allow",
      "Principal": {
          "AWS": [
              "arn:aws:iam::111122223333:root"
          ]
      },
      "Action": [
          "kms:CreateGrant"
      ],
      "Resource": "*"
   }

2. Dari akun tempat Anda ingin membuat cluster AWS PCS, buat hibah yang mendelegasikan izin yang relevan ke peran terkait AWS layanan PCS. Nilai grantee-principal adalah ARN dari peran terkait layanan. Nilai key-id adalah ARN kunci.

   Contoh berikut perintah create-grant CLI memberikan peran terkait layanan yang dinamai AWSServiceRoleForPCS dalam 111122223333 izin akun untuk menggunakan kunci yang dikelola pelanggan di akun. 444455556666

   aws kms create-grant \
     --region us-west-2 \
     --key-id arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d \
     --grantee-principal arn:aws:iam::111122223333:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS \
     --operations "Encrypt" "Decrypt" "ReEncryptFrom" "ReEncryptTo" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "DescribeKey" "CreateGrant"

   catatan

   Pengguna yang membuat permintaan harus memiliki izin untuk menggunakan kms:CreateGrant tindakan tersebut.

   Contoh kebijakan IAM berikut mengizinkan identitas IAM (pengguna atau peran) di akun 111122223333 untuk membuat hibah untuk kunci yang dikelola pelanggan di akun. 444455556666

   JSON

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Sid": "AllowCreationOfGrantForTheKMSKeyinExternalAccount444455556666",
         "Effect": "Allow",
         "Action": "kms:CreateGrant",
         "Resource": "arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d"
       }
     ]
   }
   

   Untuk informasi selengkapnya tentang membuat hibah untuk kunci KMS yang berbeda Akun AWS, lihat Hi bah di AWS KMS dalam Panduan Peng AWS Key Management Service embang.

   penting

   Nama peran terkait layanan yang ditentukan sebagai prinsipal penerima hibah harus merupakan nama peran yang ada. Setelah membuat hibah, untuk memastikan bahwa hibah memungkinkan AWS PCS menggunakan kunci KMS yang ditentukan, jangan menghapus dan membuat ulang peran terkait layanan.

Mengedit kebijakan utama di AWS KMS konsol

Contoh-contoh di bagian sebelumnya hanya menunjukkan cara menambahkan pernyataan ke kebijakan utama, yang hanya merupakan salah satu cara untuk mengubah kebijakan utama. Cara termudah untuk mengubah kebijakan kunci adalah dengan menggunakan tampilan default AWS KMS konsol untuk kebijakan utama dan menjadikan identitas IAM (pengguna atau peran) sebagai salah satu pengguna utama untuk kebijakan kunci yang sesuai. Untuk informasi selengkapnya, lihat Menggunakan Konsol Manajemen AWS tampilan default di Panduan AWS Key Management Service Pengembang.

Awas

Pernyataan kebijakan tampilan default konsol mencakup izin untuk melakukan AWS KMS Revoke operasi pada kunci yang dikelola pelanggan. Jika Anda mencabut hibah yang memberikan Akun AWS akses ke kunci yang dikelola pelanggan di akun Anda, pengguna di akun tersebut Akun AWS kehilangan akses ke data terenkripsi dan kunci tersebut.