기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
AWS KMS 권한
작업 및 리소스 테이블은 사용자가 정의하는 데 도움이 되도록 설계되었습니다.액세스 제어in주요 정책및IAM 정책.
테이블의 모든 데이터를 보려면 가로 또는 세로로 스크롤해야 할 수 있습니다.
| 작업 및 권한 | 정책 유형 | 교차 계정 사용 | 리소스 (IAM 정책용) | AWS KMS 조건 키 |
|---|---|---|---|---|
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
| ConnectCustomKeyStore
|
IAM 정책 | 아니요 |
|
|
|
이 연산을 사용하려면 호출자가 두 리소스에 대한
자세한 내용은 단원을 참조하십시오별칭에 대한 액세스 제어 |
IAM 정책 (별칭의 경우) |
아니요 |
별칭 |
없음(별칭에 대한 액세스 제어 시) |
|
키 정책(CMK의 경우) |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
| CreateCustomKeyStore
|
IAM 정책 | 아니요 |
|
|
|
|
키 정책 |
예 |
CMK |
암호화 컨텍스트 권한 부여의 조건: CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
IAM 정책 |
아니요 |
|
kms:BypassPolicyLockoutSafetyCheck 태그 지정 조건: aws:RequestTag/tag-key(AWS(전역 조건 키) aws:ResourceTag/tag-key(AWS(전역 조건 키) aws:TagKeys(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK |
암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
이 연산을 사용하려면 호출자가 두 리소스에 대한
자세한 내용은 단원을 참조하십시오별칭에 대한 액세스 제어 |
IAM 정책 (별칭의 경우) |
아니요 |
별칭 |
없음(별칭에 대한 액세스 제어 시) |
|
키 정책(CMK의 경우) |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
| DeleteCustomKeyStore
|
IAM 정책 | 아니요 |
|
|
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
| DescribeCustomKeyStores
|
IAM 정책 | 아니요 |
|
|
|
|
키 정책 |
예 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
| DisconnectCustomKeyStore
|
IAM 정책 | 아니요 |
|
|
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
아니요 |
CMK(대칭만 해당) |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK |
암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK(대칭만 해당) |
암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK(대칭만 해당)
|
데이터 키 페어의 조건: 암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
GenerateDataKeyPairWithoutPlaintext
|
키 정책 |
예 |
CMK(대칭만 해당)
|
데이터 키 페어의 조건: 암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
GenerateDataKeyWithoutPlaintext
|
키 정책 |
예 |
CMK(대칭만 해당) |
암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
IAM 정책 |
해당 사항 없음 |
|
없음 |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK(대칭만 해당) |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
아니요 |
CMK(대칭만 해당) |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK(비대칭만 해당) |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
|
키 정책 |
아니요 |
CMK(대칭만 해당) |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: kms:ExpirationModel |
|
|
IAM 정책 |
아니요 |
|
없음 |
|
|
키 정책 |
예 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
IAM 정책 |
아니요 |
|
없음 |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
IAM 정책 |
지정된 보안 주체는 로컬 계정에 있어야 하지만 작업은 모든 계정에서 권한을 반환합니다. |
|
없음 |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
이 연산을 사용하려면 호출자가 두 CMK에 대한 권한을 가지고 있어야 합니다.
|
키 정책 |
예 |
CMK |
암호화 작업에 대한 암호화 조건 암호화 컨텍스트 CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
이 연산을 사용하려면 호출자가 다음 권한을 가지고 있어야 합니다.
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
권한 부여 사용을 중지하는 권한은 주로 권한 부여에 의해 결정됩니다. 정책만으로는 이 작업에 대한 액세스를 허용할 수 없습니다. 자세한 내용은 보조금 폐기 및 철회 단원을 참조하십시오. |
IAM 정책 (이 권한은 키 정책에서 유효하지 않습니다.) |
예 |
CMK |
aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건: |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
예 |
CMK(비대칭만 해당) |
서명 및 확인 조건: KMS:요청별칭CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 태그 지정 조건: aws:RequestTag/tag-key(AWS(전역 조건 키) aws:TagKeys(AWS(전역 조건 키) |
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 태그 지정 조건: aws:RequestTag/tag-key(AWS(전역 조건 키) aws:TagKeys(AWS(전역 조건 키) |
|
이 연산을 사용하려면 호출자가 세 가지 리소스에 대한
자세한 내용은 단원을 참조하십시오별칭에 대한 액세스 제어 |
IAM 정책 (별칭의 경우) |
아니요 |
별칭 |
없음(별칭에 대한 액세스 제어 시) |
|
키 정책(CMK의 경우) |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
| UpdateCustomKeyStore
|
IAM 정책 | 아니요 |
|
|
|
|
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
|
이 연산을 사용하려면 호출자가 |
키 정책 |
아니요 |
CMK |
CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) 기타 조건 |
|
|
키 정책 |
예 |
CMK(비대칭만 해당) |
서명 및 확인 조건: KMS:요청별칭CMK 작업 조건: aws:ResourceTag/tag-key(AWS(전역 조건 키) |
이 테이블의 열에는 다음 정보가 제공됩니다.
-
작업 및 권한각 나열AWS KMSAPI 작업 및 작업을 허용하는 권한에 대해 설명합니다. 에서 작업을 지정할 수 있습니다.
Action정책 설명의 요소를 지정합니다. -
정책 유형권한을 키 정책이나 IAM 정책에서 사용할 수 있는지 여부를 나타냅니다.
키 정책키 정책에서 권한을 설정할 수 있음을 의미합니다. 키 정책에IAM 정책을 활성화하는 정책 설명를 사용하려면 IAM 정책에서 권한을 설정할 수 있습니다.
IAM 정책는 IAM 정책에서만 권한을 설정할 수 있음을 의미합니다.
-
교차 계정 사용에는 권한 있는 사용자가 다른AWS계정 및
값예는 보안 주체가 다른 리소스에 대한 작업을 수행할 수 있음을 의미합니다.AWS계정 및
값아니요는 보안 주체가 자체 리소스에 대해서만 작업을 수행할 수 있음을 의미합니다.AWS계정 및
다른 계정의 보안 주체에 교차 계정 리소스에서 사용할 수 없는 권한을 부여하면 사용 권한이 적용되지 않습니다. 예를 들어 다른 계정의 보안 주체를 제공하는 경우KMS:태그 리소스권한이 있는 경우 계정에서 CMK에 태그를 지정하려는 시도가 실패합니다.
-
리소스는 권한이 적용되는 AWS KMS 리소스를 나열합니다. AWS KMS에서는 고객 마스터 키(CMK)와 별칭이라는 두 가지 리소스 유형을 지원합니다. 키 정책에서
Resource요소의 값은 항상*이며, 이는 키 정책에 연결된 CMK를 나타냅니다.다음 값을 사용하여AWS KMS리소스를 IAM 정책의 정책 내에서 사용할 수 있습니다.
- CMK
-
리소스가 고객 마스터 키(CMK)인 경우, 해당 키 ARN을 사용합니다. 도움말은 키 ID 및 ARN 찾기를 참조하십시오.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_ID다음 예를 참조하십시오.
arn:aws:kms:us-west- 2:1111222333:key/1234abcd-34cd-34cd-3456ef-1234567890abcd-1234567890ab
- 별칭
-
리소스가 별칭인 경우 별칭 ARN을 사용합니다. 도움말은 별칭 이름 및 별칭 ARN 찾기를 참조하십시오.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_name다음 예를 참조하십시오.
arn:aws:kms:us-west- 2:111122223333:alias/ExampleAlias
*(별표)-
권한이 특정 리소스(CMK 또는 별칭)에 적용되지 않는 경우 별표(
*)를 사용합니다.AWS KMS 권한에 대한 IAM 정책에서
Resource요소의 별표는 모든 AWS KMS 리소스(CMK 및 별칭)를 나타냅니다. AWS KMS 권한이 특정 CMK 또는 별칭에 적용되지 않는 경우에도Resource요소에 별표를 사용할 수 있습니다. 예를 들어 허용 또는 거부kms:CreateKey또는kms:ListKeys권한을 부여할 때Resource요소를*또는 계정별 변형(예:arn:)으로 설정할 수 있습니다.AWS_partition_name:kms:AWS_region:AWS_account_ID:*
-
AWS KMS 조건 키는 연산에 대한 액세스를 제어하는 데 사용할 수 있는 AWS KMS 조건 키를 나열합니다. 정책의
Condition요소에 조건을 지정합니다. 자세한 내용은 AWS KMS 조건 키 단원을 참조하십시오. 이 열에는AWS전역 조건 키에 의해 지원되는AWS KMS, 하지만 전부는 아닙니다AWS서비스.
