AWS 全局条件键

聚焦模式

AWS 全局条件键 - AWS Key Management Service

AWS 定义全局条件密钥，这是一组策略条件密钥，适用于使用 IAM 进行访问控制的所有 AWS 服务。 AWS KMS 支持所有全局条件键。您可以在 AWS KMS 密钥策略和 IAM 策略中使用它们。

例如，只有当请求中的委托人由条件键值中的 Amazon 资源名称 AWS KMS key (ARN) 表示时，您才可以使用 aws: PrincipalArn 全局条件密钥允许访问 (KMS 密钥)。要在中支持基于属性的访问控制 (AB AC) AWS KMS，您可以在 IAM 策略中使用 aws:ResourceTag/tag-key 全局条件密钥来允许访问带有特定标签的 KMS 密钥。

在委托人为 AWS 服务委托人的保单中，为了防止某项AWS 服务被用作混淆的副手，您可以使用 aws:SourceArn 或 aws:SourceAccount全局条件键。有关详细信息，请参阅使用 aws:SourceArn 或 aws:SourceAccount 条件键。

有关 AWS 全局条件密钥的信息，包括可用的请求类型，请参阅 IAM 用户指南中的AWS 全局条件上下文密钥。有关在 IAM policy 中使用全局条件键的示例，请参阅 IAM 用户指南中的控制对请求的访问和控制标签密钥。

以下主题提供有关使用基于 IP 地址和 VPC 终端节点的条件键的特殊指导。

在具有 AWS KMS 权限的策略中使用 IP 地址条件

您可以使用 AWS KMS 在集成 AWS 服务中保护您的数据。但是，在允许或拒绝访问的同一策略声明中指定 IP 地址aws:SourceIp条件运算符或条件密钥时，请谨慎行事 AWS KMS。例如，“AWS 基于源 IP 拒绝访问” 中的AWS策略将 AWS 操作限制为来自指定 IP 范围的请求。

请考虑以下情况：

您向 IAM 身份附加了如下所示的策略AWS： AWS 基于源 IP 拒绝访问。您将aws:SourceIp 条件键的值设置为该用户公司的 IP 地址范围。此 IAM 身份还附有其他政策，允许其使用 Amazon EBS EC2、Amazon 和 AWS KMS。
该身份尝试将加密的 EBS 卷附加到 EC2 实例。即使用户有权使用所有相关服务，此操作也会失败并显示授权错误。

第 2 步失败，因为解密卷加密数据密钥的请求来自与 Ama EC2 zon 基础设施关联的 IP 地址。 AWS KMS 要想成功，请求必须来自始发用户的 IP 地址。由于步骤 1 中的策略明确拒绝来自指定 IP 地址以外的 IP 地址的所有请求，因此 Amazon EC2 无法解密 EBS 卷的加密数据密钥。

此外，当请求来自 Amazon VPC 终端节点时，aws:sourceIP 条件键也不起作用。要限制对 VPC 终端节点（包括 AWS KMS VPC 终端节点）的请求，请使用 aws:sourceVpce 或 aws:sourceVpc 条件键。有关更多信息，请参阅 Amazon VPC 用户指南中的 VPC 终端节点 - 控制终端节点的使用。