Pour contrôler qui peut gérer et utiliser une clé, ajoutez ou supprimez des utilisateurs RAM et des rôles RAM dans la politique de clé afin de désigner les administrateurs et les utilisateurs de clé. Cette rubrique explique comment configurer une politique de clé.
Configurer une politique de clé dans la console KMS
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sous l'onglet Customer Master Keys, localisez la clé cible et cliquez sur son ID ou sur Details dans la colonne Actions.
-
Sur la page des détails, faites défiler jusqu'à la section Key Policy, cliquez sur Configure Key Policy, configurez la politique de clé, puis cliquez sur OK.
-
Édition graphique : dans ce mode, attribuez des entités autorisées (utilisateurs RAM ou rôles RAM) à des rôles prédéfinis en utilisant les Autorisations de politique par défaut (Action).
Administrator : les entités attribuées à ce rôle peuvent gérer la clé, mais ne peuvent pas effectuer d'opérations cryptographiques. Vous pouvez attribuer des utilisateurs RAM et des rôles RAM au sein du compte Alibaba Cloud actuel.
User : les entités attribuées à ce rôle peuvent uniquement utiliser la clé pour des opérations cryptographiques. Vous pouvez attribuer des utilisateurs RAM et des rôles RAM au sein du compte Alibaba Cloud actuel.
-
Cross-account User :
ImportantL'octroi d'autorisations à un utilisateur RAM ou à un rôle RAM sous un autre compte Alibaba Cloud consomme le Access Management Quota de votre instance KMS. La consommation du quota est calculée en fonction du nombre de comptes Alibaba Cloud. Après révocation de l'autorisation, le quota est restitué après environ 5 minutes.
Vous devez également configurer les autorisations de clé correspondantes pour l'utilisateur ou le rôle RAM dans la console RAM avant que l'entité puisse utiliser la clé. Pour plus d'informations, consultez les rubriques Custom policies, Manage RAM user permissions et Manage permissions for a RAM role.
Il peut s'agir d'un utilisateur RAM ou d'un rôle RAM sous un autre compte Alibaba Cloud. Les entités intercomptes peuvent uniquement utiliser la clé pour des opérations cryptographiques.
-
Cliquez sur Add ARN of Cross-account User et saisissez l'ARN de l'entité autorisée. Vous pouvez obtenir l'ARN depuis la page des détails de l'utilisateur ou du rôle dans la RAM console.
Utilisateur RAM : format :
acs:ram::<Other Alibaba Cloud account ID>:user/<ramuser>. Exemple :acs:ram::119285303511****:user/testpolicyuser.Rôle RAM : format :
acs:ram::<Other Alibaba Cloud account ID>:role/<ramrole>. Exemple :acs:ram::119285303511****:role/testpolicyrole.
-
Syntax Editor : modifiez ou ajoutez directement des instructions d'autorisation dans l'éditeur de syntaxe. L'exemple suivant présente une configuration type.
-
Scénario : cet exemple configure une politique de clé pour une clé appartenant au compte Alibaba Cloud 119285303511****.
Le compte Alibaba Cloud actuel (119285303511****) dispose d'un accès complet pour gérer et utiliser la clé. Nous vous recommandons de ne pas modifier cette instruction.
Autorisez l'utilisateur RAM (key_ramuser1) sous le compte Alibaba Cloud actuel (119285303511****) à gérer la clé.
Autorisez l'utilisateur RAM (key_ramuser2) sous le compte Alibaba Cloud actuel (119285303511**) et l'utilisateur RAM (key_ramuser3) sous un autre compte Alibaba Cloud (190325303126**) à utiliser la clé.
-
Exemple de syntaxe :
{ "Statement": [ { "Action": [ "kms:*" ], "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::119285303511****:*" ] }, "Resource": [ "*" ], "Sid": "kms default key policy" }, { "Action": [ "kms:List*", "kms:Describe*", "kms:Create*", "kms:Enable*", "kms:Disable*", "kms:Get*", "kms:Set*", "kms:Update*", "kms:Delete*", "kms:Cancel*", "kms:TagResource", "kms:UntagResource", "kms:ImportKeyMaterial", "kms:ScheduleKeyDeletion" ], "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::119285303511****:user/key_ramuser1" ] }, "Resource": [ "*" ] }, { "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey", "kms:GenerateAndExportDataKey", "kms:AsymmetricEncrypt", "kms:AsymmetricDecrypt", "kms:DescribeKey", "kms:DescribeKeyVersion", "kms:ListKeyVersions", "kms:ListAliasesByKeyId", "kms:TagResource" ], "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::119285303511****:user/key_ramuser2", "acs:ram::190325303126****:user/key_ramuser3" ] }, "Resource": [ "*" ] } ], "Version": "1" }RemarqueDans l'exemple précédent, le champ
Resourcene peut être défini que sur["*"], ce qui indique que la politique s'applique à la clé actuelle.
-
-
Limites
Les politiques de clé sont prises en charge uniquement pour les Customer Master Keys.
Une politique de clé doit être au format JSON et ne peut pas dépasser 32 768 octets.
-
Les actions suivantes peuvent être spécifiées dans une politique de clé :
AvertissementLes actions qui ne figurent pas dans cette liste n'auront aucun effet.
"Action": [ "kms:List*", "kms:Describe*", "kms:Create*", "kms:Enable*", "kms:Disable*", "kms:Get*", "kms:Set*", "kms:Update*", "kms:Delete*", "kms:Cancel*", "kms:TagResource", "kms:UntagResource", "kms:ImportKeyMaterial", "kms:ScheduleKeyDeletion" "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey", "kms:GenerateAndExportDataKey", "kms:AsymmetricEncrypt", "kms:AsymmetricDecrypt", "kms:DescribeKey", "kms:DescribeKeyVersion", "kms:ListKeyVersions", "kms:ListAliasesByKeyId", "kms:TagResource" ] -
Autorisation de clé intercompte : pour autoriser un utilisateur RAM ou un rôle RAM sous un autre compte Alibaba Cloud à utiliser une clé sous votre compte, vous devez configurer les autorisations dans les deux comptes :
Configurez la politique de clé dans la console KMS pour accorder l'autorisation d'utilisation au compte cible. Ajoutez une instruction de politique pour Cross-account User.
Le compte cible doit configurer les autorisations de clé correspondantes pour son utilisateur ou rôle RAM dans la console RAM.
Autorisations de politique par défaut (Action)
Administrator
Les entités attribuées à ce rôle peuvent gérer la clé, mais ne peuvent pas effectuer d'opérations cryptographiques.
"Action": [
"kms:List*",
"kms:Describe*",
"kms:Create*",
"kms:Enable*",
"kms:Disable*",
"kms:Get*",
"kms:Set*",
"kms:Update*",
"kms:Delete*",
"kms:Cancel*",
"kms:TagResource",
"kms:UntagResource",
"kms:ImportKeyMaterial",
"kms:ScheduleKeyDeletion"
]Key user/cross-account key user
Les entités attribuées à ce rôle peuvent uniquement utiliser la clé pour des opérations cryptographiques.
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:GenerateDataKey",
"kms:GenerateAndExportDataKey",
"kms:AsymmetricEncrypt",
"kms:AsymmetricDecrypt",
"kms:DescribeKey",
"kms:DescribeKeyVersion",
"kms:ListKeyVersions",
"kms:ListAliasesByKeyId",
"kms:TagResource"
]FAQ
-
Quelle est la relation entre une politique de clé et une politique d'autorisation RAM ?
Une politique de clé et une politique d'autorisation RAM contrôlent l'accès aux clés KMS selon différentes dimensions. Après avoir ajouté un utilisateur RAM ou un rôle RAM à une politique de clé, vous devez également configurer une politique d'autorisation RAM pour gérer les autorisations d'opération KMS déjà configurées pour l'utilisateur ou le rôle RAM dans la console RAM.
RemarquePour plus d'informations sur les priorités d'évaluation des autorisations, consultez la rubrique Permission evaluation priority.
Key Policy : il s'agit d'une politique au niveau de la ressource attachée à une clé spécifique. Elle déclare quelles identités (utilisateurs RAM, rôles RAM ou comptes Alibaba Cloud) peuvent gérer ou utiliser la clé.
Politique d'autorisation RAM : il s'agit d'une politique au niveau de l'identité attachée à un utilisateur ou à un rôle RAM. Elle déclare quelles actions KMS l'identité peut effectuer.