Controllo dell'accesso all'archivio delle chiavi di AWS CloudHSM - AWS Key Management Service
Autorizzazione di gestori e utenti dell'archivio delle chiavi di AWS CloudHSMAutorizzazione di AWS KMS per gestire risorse AWS CloudHSM e Amazon EC2

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo dell'accesso all'archivio delle chiavi di AWS CloudHSM

Le policy IAM ti consentono di controllare l'accesso all'archivio delle chiavi di AWS CloudHSM e al cluster AWS CloudHSM. Puoi utilizzare le policy chiave, le policy IAM e le concessioni per controllare l'accesso alle AWS KMS keys nell'archivio delle chiavi di AWS CloudHSM. Ti consigliamo di concedere a utenti, gruppi e ruoli soltanto le autorizzazioni necessarie per le attività che sono supposti eseguire.

Autorizzazione di gestori e utenti dell'archivio delle chiavi di AWS CloudHSM

Durante la progettazione dell'archivio delle chiavi di AWS CloudHSM, assicurati che i principali che lo utilizzano e gestiscono dispongano soltanto delle autorizzazioni necessarie. L'elenco seguente descrive le autorizzazioni minime necessarie per i gestori e gli utenti dell'archivio delle chiavi di AWS CloudHSM.

  • I principali che creano e gestiscono l'archivio delle chiavi di AWS CloudHSM necessitano della seguente autorizzazione per utilizzare le operazioni API relative all'archivio di AWS CloudHSM.

    • cloudhsm:DescribeClusters

    • kms:CreateCustomKeyStore

    • kms:ConnectCustomKeyStore

    • kms:DeleteCustomKeyStore

    • kms:DescribeCustomKeyStores

    • kms:DisconnectCustomKeyStore

    • kms:UpdateCustomKeyStore

    • iam:CreateServiceLinkedRole

  • I principali che creano e gestiscono il cluster AWS CloudHSM associato all'archivio delle chiavi di AWS CloudHSM devono disporre dell'autorizzazione per creare e inizializzare un cluster AWS CloudHSM. Ciò include l'autorizzazione a creare o utilizzare un cloud privato virtuale (VPC) di Amazon, creare sottoreti e un'istanza Amazon EC2. Potrebbero inoltre aver bisogno di creare ed eliminare HSM e gestire backup. Per un elenco delle autorizzazioni necessarie, consulta Identity and access management per AWS CloudHSM nella Guida per l'utente di AWS CloudHSM.

  • I principali che creano e gestiscono le AWS KMS keys nell'archivio delle chiavi di AWS CloudHSM devono disporre delle stesse autorizzazioni degli utenti che creano e gestiscono le chiavi KMS in AWS KMS. La policy chiave predefinita per le chiavi KMS in un archivio delle chiavi di AWS CloudHSM è identica alla policy chiave predefinita per le chiavi KMS in AWS KMS. Il controllo degli accessi basato su attributi (ABAC), che utilizza tag e alias per controllare l'accesso alle chiavi KMS, è efficace anche per le chiavi KMS negli archivi delle chiavi di AWS CloudHSM.

  • I principali che utilizzano le chiavi KMS nell'archivio delle chiavi di AWS CloudHSM per operazioni di crittografia devono essere autorizzati a eseguire l'operazione di crittografia con la chiave KMS, ad esempio kms:Decrypt. Puoi fornire queste autorizzazioni in una policy delle chiavi, una policy IAM. I principali non hanno tuttavia bisogno di autorizzazioni supplementari per utilizzare una chiave KMS in un archivio delle chiavi di AWS CloudHSM.

Autorizzazione di AWS KMS per gestire risorse AWS CloudHSM e Amazon EC2

Per supportare gli archivi delle chiavi di AWS CloudHSM, AWS KMS deve disporre dell'autorizzazione per ottenere informazioni sui cluster AWS CloudHSM. Ha inoltre bisogno dell'autorizzazione per creare l'infrastruttura di rete che connette l'archivio delle chiavi di AWS CloudHSM al relativo cluster AWS CloudHSM. Per ottenere queste autorizzazioni, AWS KMS crea il ruolo AWSServiceRoleForKeyManagementServiceCustomKeyStorescollegato al servizio nel tuo. Account AWS Gli utenti che creano archivi delle chiavi di AWS CloudHSM devono disporre dell'autorizzazione iam:CreateServiceLinkedRole che consente loro di creare ruoli collegati ai servizi.

Informazioni sul ruolo collegato ai servizi AWS KMS

Un ruolo collegato ai servizi è un ruolo IAM che concede a un servizio AWS l'autorizzazione per chiamare altri servizi AWS a tuo nome. È concepito per facilitare l'utilizzo delle funzionalità di molteplici servizi AWS integrati senza la necessità di creare e gestire policy IAM complesse. Per ulteriori informazioni, consulta Utilizzo di ruoli collegati ai servizi per AWS KMS.

Per gli archivi AWS CloudHSM chiave, AWS KMS crea il ruolo AWSServiceRoleForKeyManagementServiceCustomKeyStorescollegato al servizio con la policy. AWSKeyManagementServiceCustomKeyStoresServiceRolePolicy Questa policy concede al ruolo le seguenti autorizzazioni:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudhsm:Describe*",
        "ec2:CreateNetworkInterface",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateSecurityGroup",
        "ec2:DescribeSecurityGroups",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:DeleteSecurityGroup",
        "ec2:DescribeVpcs",
        "ec2:DescribeNetworkAcls",
        "ec2:DescribeNetworkInterfaces"
      ],
      "Resource": "*"
    }
  ]
}

Poiché solo il ruolo AWSServiceRoleForKeyManagementServiceCustomKeyStorescollegato al servizio è affidabilecks.kms.amazonaws.com, solo può assumere questo ruolo collegato al servizio. AWS KMS Questo ruolo è limitato alle operazioni di cui AWS KMS necessita per visualizzare i cluster AWS CloudHSM e connettere un archivio delle chiavi di AWS CloudHSM al relativo cluster AWS CloudHSM. Non fornisce a AWS KMS autorizzazioni aggiuntive. Ad esempio, AWS KMS non dispone dell'autorizzazione per creare, gestire o eliminare cluster AWS CloudHSM, HSM o backup.

Regioni

Come la funzionalità degli archivi AWS CloudHSM chiave, il AWSServiceRoleForKeyManagementServiceCustomKeyStoresruolo è supportato ovunque e è disponibile. Regioni AWS AWS KMS AWS CloudHSM Per un elenco di Regioni AWS supportate da ogni servizio, consulta Endpoint e quote AWS Key Management Service ed Endpoint e quote AWS CloudHSM nella Riferimenti generali di Amazon Web Services.

Per ulteriori informazioni su come i servizi AWS utilizzano i ruoli collegati ai servizi, consulta la pagina Uso di ruoli collegati ai servizi nella Guida per l'utente di IAM.

Creazione del ruolo collegato ai servizi

AWS KMScrea automaticamente il ruolo AWSServiceRoleForKeyManagementServiceCustomKeyStorescollegato al servizio Account AWS quando crei un archivio di AWS CloudHSM chiavi, se il ruolo non esiste già. Non è possibile creare o ricreare direttamente questo ruolo collegato ai servizi.

Modifica della descrizione di un ruolo collegato ai servizi

Non puoi modificare il nome del ruolo o le istruzioni di policy nel ruolo collegato ai servizi AWSServiceRoleForKeyManagementServiceCustomKeyStores, ma puoi modificare la descrizione del ruolo. Per istruzioni, consulta Modifica di un ruolo collegato ai servizi nella Guida per l'utente di IAM.

Eliminazione del ruolo collegato ai servizi

AWS KMSnon elimina il ruolo AWSServiceRoleForKeyManagementServiceCustomKeyStorescollegato al servizio dal tuo Account AWS anche se hai eliminato tutti i tuoi archivi di chiavi. AWS CloudHSM Sebbene al momento non esista una procedura per eliminare il ruolo AWSServiceRoleForKeyManagementServiceCustomKeyStorescollegato al servizio, non assume questo ruolo né ne utilizza le autorizzazioni a meno che AWS KMS non disponga di archivi di chiavi attivi. AWS CloudHSM