Testar suas permissões

Para usar AWS KMS, você precisa ter credenciais que AWS possam ser usadas para autenticar suas solicitações de API. As credenciais devem incluir permissões para acessar chaves KMS e aliases. As permissões são determinadas pelas política de chave, políticas do IAM, concessões e controles de acesso entre contas. Além de controlar o acesso às chaves KMS, é possível controlar o acesso ao seu CloudHSM e aos seus repositórios de chaves personalizados.

É possível especificar o parâmetro da API DryRun para verificar se você tem as permissões necessárias para usar as chaves do AWS KMS . Você também pode usar DryRun para verificar se os parâmetros de solicitação em uma chamada de AWS KMS API estão especificados corretamente.

Qual é o DryRun parâmetro?

DryRun é um parâmetro de API opcional que você especifica para verificar se as chamadas da API do AWS KMS serão bem-sucedidas. Use DryRun para testar sua chamada de API, antes de realmente fazer a chamada para o AWS KMS. É possível verificar o seguinte:

• Que você tem as permissões necessárias para usar as chaves do AWS KMS .

• Que você especificou os parâmetros na chamada corretamente.

AWS KMS suporta o uso do DryRun parâmetro em determinadas ações da API:

• CreateGrant

• Decrypt

• DeriveSharedSecret

• Encrypt

• GenerateDataKey

• GenerateDataKeyPair

• GenerateDataKeyPairWithoutPlaintext

• GenerateDataKeyWithoutPlaintext

• GenerateMac

• ReEncrypt

• RetireGrant

• RevokeGrant

• Sign

• Verificar

• VerifyMac

O uso do parâmetro DryRun incorrerá em cobranças e será cobrado como uma solicitação de API padrão. Para obter mais informações sobre AWS KMS preços, consulte AWS Key Management Service Preços.

Todas as solicitações de API que usam o parâmetro DryRun se aplicam à cota de solicitações da API e podem resultar em uma exceção de controle de utilização se você exceder a cota de solicitação da API. Por exemplo, chamar Decrypt com DryRun ou sem DryRun conta na mesma cota de operações criptográficas. Para saber mais, consulte Solicitações de AWS KMS limitação.

Cada chamada para uma operação de AWS KMS API é capturada como um evento e registrada em um AWS CloudTrail registro. A saída de qualquer operação que especifique o DryRun parâmetro aparece no seu CloudTrail registro. Para obter mais informações, consulte Registrando chamadas de AWS KMS API com AWS CloudTrail.

Especificando DryRun com a API

Para usarDryRun, especifique o —dry-run parâmetro em AWS CLI comandos e chamadas de AWS KMS API compatíveis com o parâmetro. Ao fazer isso, AWS KMS verificará se sua chamada será bem-sucedida. AWS KMS as chamadas usadas sempre falharão e DryRun retornarão uma mensagem com informações sobre o motivo pelo qual a chamada falhou. A mensagem pode incluir as seguintes exceções:

• DryRunOperationException ‐ A solicitação seria bem-sucedida se DryRun não estivesse especificada.

• ValidationException ‐ A solicitação falhou devido à especificação de um parâmetro de API incorreto.

• AccessDeniedException ‐ Você não tem permissões para realizar a ação de API especificada no recurso KMS.

Por exemplo, o comando a seguir usa a CreateGrantoperação e cria uma concessão que permite que os usuários autorizados a assumir a keyUserRole função chamem a operação Decrypt em uma chave KMS simétrica especificada. O parâmetro DryRun está especificado.

$  aws kms create-grant \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --grantee-principal arn:aws:iam::111122223333:role/keyUserRole \
    --operations Decrypt \
    --dry-run