Key Management Service:Descripción general de las directivas de clave

Relación entre las directivas de clave y las directivas de RAM

Notas de uso

• Las directivas de clave aplican solo a las claves dentro de una instancia de KMS. Puede configurar una directiva de clave durante la creación de la clave o modificarla posteriormente. Para obtener más información, consulte Create a key y Configure a key policy.

• Autorizar usuarios o roles de RAM de otras cuentas de Alibaba Cloud consume la cuota Accounts in Use de la instancia de KMS. Esta cuota se calcula según el número de cuentas de Alibaba Cloud. Si revoca la autorización entre cuentas y la instancia deja de compartir recursos con dicha cuenta, espere aproximadamente 5 minutos antes de comprobar la cuota. La cuota se liberará automáticamente.

• Una directiva de clave aplica al control de acceso únicamente cuando accede a una clave mediante el endpoint del servicio de KMS. Si accede a través de un endpoint de instancia de KMS, el acceso depende de la directiva de permisos configurada en el Application Access Point (AAP).

• La directiva de clave debe estar en formato JSON y no puede superar los 32 768 bytes de longitud.

Estructura de la directiva de clave

Una directiva de clave completa contiene los siguientes elementos:

• Version: Versión de la directiva de clave. Actualmente, solo es compatible la versión 1.

• Statement: Instrucciones de la directiva de clave. Cada directiva contiene una o más instrucciones, y cada una incluye los siguientes parámetros.

  • Sid

    Opcional. Identificador personalizado de la instrucción. Puede tener hasta 128 caracteres e incluir letras mayúsculas (A-Z), minúsculas (a-z), dígitos (0-9) y los siguientes caracteres especiales: _ / + = . @ -

  • Effect

    Obligatorio. Especifica si se permiten o deniegan las acciones de la instrucción. Valores válidos: Allow o Deny.

  • Principal

    Obligatorio. Identidad a la que aplica la directiva. Especifique una de las siguientes opciones:

    • La cuenta actual de Alibaba Cloud, es decir, la propietaria de la clave.

    • Usuarios o roles de RAM de la cuenta actual de Alibaba Cloud.

    • Usuarios o roles de RAM de otra cuenta de Alibaba Cloud.

      Importante

      Después de autorizar usuarios o roles de RAM de otra cuenta de Alibaba Cloud, debe usar esa misma cuenta para otorgarles el permiso correspondiente en RAM. De lo contrario, dichas identidades no podrán usar la clave.

      Para obtener más información, consulte Custom policies, Manage RAM user permissions y Manage permissions for a RAM role.

  • Action

    Obligatorio. Operaciones de API que se permiten o deniegan. El valor debe comenzar con "kms:". Solo son válidas las siguientes operaciones; cualquier otra fuera de esta lista no surtirá efecto.

    Lista de permisos

     "Action": [
                    "kms:List*",
                    "kms:Describe*",
                    "kms:Create*",
                    "kms:Enable*",
                    "kms:Disable*",
                    "kms:Get*",
                    "kms:Set*",
                    "kms:Update*",
                    "kms:Delete*",
                    "kms:Cancel*",
                    "kms:TagResource",
                    "kms:UntagResource",
                    "kms:ImportKeyMaterial",
                    "kms:ScheduleKeyDeletion"
                    "kms:Encrypt",
                    "kms:Decrypt",
                    "kms:GenerateDataKey",
                    "kms:GenerateAndExportDataKey",
                    "kms:AsymmetricEncrypt",
                    "kms:AsymmetricDecrypt",
                    "kms:DescribeKey",
                    "kms:DescribeKeyVersion",
                    "kms:ListKeyVersions",
                    "kms:ListAliasesByKeyId",
                    "kms:TagResource"
                ]

  • Resource

    Obligatorio. Recurso de destino al que aplica la directiva. El valor de Resource solo puede ser *, lo cual indica la clave de KMS actual.

  • Condition

    Opcional. Condiciones bajo las cuales la directiva entra en vigor. Un elemento de condición, también llamado bloque de condición, consta de una o más cláusulas. Cada cláusula incluye un operador, una clave y un valor de condición. Para obtener más información, consulte Permission policy elements.

    El formato es "Condition": {"condition operator": {"condition key": "condition value"}}.

    • condition operator: Para obtener más información, consulte Condition operator types.

    • condition key y condition value: Para conocer las claves de condición y los valores válidos compatibles con las directivas de clave, consulte Policy condition keys.

Preguntas frecuentes

¿Cómo consulto quién creó la clave?

• Consola: Inicie sesión en la consola de KMS. En la página Keys, abra la página de detalles de la clave y consulte el campo Created By.

• API: Llame a la operación DescribeKey. El campo Creator de la respuesta indica quién creó la clave.