Visualizar uma política de chaves

Você pode visualizar a política de chaves de uma chave gerenciada pelo AWS KMS cliente ou Chave gerenciada pela AWSem sua conta usando a operação AWS Management Console ou a GetKeyPolicyoperação na AWS KMS API. Não é possível usar essas técnicas para visualizar a política de chaves de uma chave do KMS em outra Conta da AWS.

Para saber mais sobre as políticas de chaves do AWS KMS, consulte Políticas-chave em AWS KMS. Para saber como determinar quais usuários e funções têm acesso a uma chave do KMS, consulte Determinar acesso a AWS KMS keys.

Visualizar uma política de chaves (console)

Os usuários autorizados podem visualizar a política de chaves de uma Chave gerenciada pela AWS ou de uma chave gerenciada pelo cliente na guia Key policy (Política de chaves) do AWS Management Console.

Para visualizar a política de chaves de uma chave KMS noAWS Management Console, você deve ter as permissões kms: ListAliases, kms: DescribeKey e kms:. GetKeyPolicy

1. Faça login no AWS Management Console e abra o console do AWS Key Management Service (AWS KMS) em https://console.aws.amazon.com/kms.

2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

3. Para visualizar as chaves na sua conta que a AWS cria e gerencia para você, no painel de navegação, escolha AWS managed keys (Chaves gerenciadas pela AWS). Para exibir as chaves em sua conta que você cria e gerencia, no painel de navegação, escolha Customer managed keys (Chaves gerenciadas de cliente).

4. Na lista de chaves do KMS, escolha o alias ou o ID de chave da chaves do KMS que você deseja examinar.

5. Selecione a guia Key policy (Política de chaves).

   Na seção Key policy (Política de chaves), você pode ver o documento da política de chaves. Essa é a visualização da política. Nas instruções da política de chaves, é possível ver as entidades principais que receberam acesso à chave do KMS pela política de chaves e ver as ações que elas podem executar.

   O exemplo a seguir mostra a visualização da política de chaves padrão.

   

   Ou, se você criou a chave do KMS no AWS Management Console, verá a visualização padrão com seções para Key administrators (Administradores de chaves), Key deletion (Exclusão de chaves) e Key Users (Usuários de chaves). Para ver o documento da política de chaves, selecione Switch to policy view (Alternar para a visualização da políticas).

   O exemplo a seguir mostra a visualização padrão da política de chaves padrão.

   

Visualizar uma política de chaves (API do AWS KMS)

Para obter a política de chaves de uma chave KMS em suaConta da AWS, use a GetKeyPolicyoperação na AWS KMS API. Não é possível usar essa operação para visualizar uma política de chaves em uma conta diferente.

O exemplo a seguir usa o get-key-policycomando no AWS Command Line Interface (AWS CLI), mas você pode usar qualquer AWS SDK para fazer essa solicitação.

Observe que o parâmetro PolicyName será exigido mesmo se default for seu único valor válido. Além disso, esse comando solicita a saída em texto, em vez de em JSON, para facilitar a visualização.

Antes de executar esse comando, substitua o ID de chave de exemplo por um válido da sua conta.

$ aws kms get-key-policy --key-id 1234abcd-12ab-34cd-56ef-1234567890ab --policy-name default --output text

A resposta deve ser semelhante à seguinte, que retorna a política de chaves padrão.

{
  "Version" : "2012-10-17",
  "Id" : "key-consolepolicy-3",
  "Statement" : [ {
    "Sid" : "Enable IAM User Permissions",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "arn:aws:iam::111122223333:root"
    },
    "Action" : "kms:*",
    "Resource" : "*"
  } ]
}