Key Management Service:概要

キーポリシーと RAM ポリシーの連携動作

キーポリシーは、ID ベースの RAM ポリシーと併存します。両者は連携して、KMS キーへのアクセス要求が許可されるかどうかを判断します。

評価結果は、リクエストの発信元によって異なります：

• 同一アカウントアクセス：キー所有者アカウントのプリンシパルは、結果 A または結果 B のいずれかで Allow が返され、Explicit Deny が返されない場合に、キーを管理または使用できます。KMS のキーポリシーまたは RAM ポリシーのいずれかがあれば十分で、両方とも必要ではありません。

• クロスアカウントアクセス：他のアカウントからのプリンシパルがキーを使用できるのは、Result A および Result B の両方で「Allow」が返される場合のみです。この場合、KMS 内のキーポリシーと外部アカウント内の RAM ポリシーの両方が必須となります。

使用制限と制約

• キーポリシーは、KMS インスタンス内のキーにのみ適用されます。キー作成時にキーポリシーを設定するか、その後で変更してください。詳細については、「キーの管理」および「キーポリシーの設定」をご参照ください。

• キーポリシーは、KMS エンドポイントを経由してキーにアクセスする場合にのみ適用されます。KMS インスタンスのエンドポイントを使用する場合は、関連付けられたアプリケーションアクセスポイント（AAP）に設定された権限ポリシーが適用されます。

• クロスアカウントアクセスの付与は、KMS インスタンスの アクセス管理クォータ を消費します。これは、外部の Alibaba Cloud アカウント数に基づいて計算されます。クロスアカウントアクセス権限を取り消した後、KMS インスタンスのリソースが他の Alibaba Cloud アカウントと共有されていない場合、クォータが復元されるまで約 5 分待ちます。

• キーポリシーは JSON 形式である必要があり、サイズは 32,768 バイトを超えてはなりません。

キーポリシーの構造

キーポリシーには、Version および 1 つ以上の Statement エントリが含まれます。

• `Version`：値は 1 に設定します。

• `Statement`：各ステートメントには、以下のフィールドが含まれます。

"Action": [
    "kms:List*",
    "kms:Describe*",
    "kms:Create*",
    "kms:Enable*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Set*",
    "kms:Update*",
    "kms:Delete*",
    "kms:Cancel*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ImportKeyMaterial",
    "kms:ScheduleKeyDeletion"
]

"Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:GenerateAndExportDataKey",
    "kms:AsymmetricEncrypt",
    "kms:AsymmetricDecrypt",
    "kms:DescribeKey",
    "kms:DescribeKeyVersion",
    "kms:ListKeyVersions",
    "kms:ListAliasesByKeyId",
    "kms:TagResource"
]

キーポリシーの例

以下のポリシーは、119285303511**** アカウント内のキーに適用されます。このポリシーは以下を付与します：

• 全アカウントに対する完全な権限（kms:*）

• 同一アカウント内の key_ramuser1 に対する管理権限

• 同一アカウント内の key_ramuser2 および 190325303126**** アカウント内の key_ramuser3 に対する使用権限

{
    "Statement": [
        {
            "Sid": "kms default key policy",
            "Action": [
                "kms:*"
            ],
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::119285303511****:*"
                ]
            },
            "Resource": [
                "*"
            ]
        },
        {
            "Action": [
                "kms:List*",
                "kms:Describe*",
                "kms:Create*",
                "kms:Enable*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Set*",
                "kms:Update*",
                "kms:Delete*",
                "kms:Cancel*",
                "kms:TagResource",
                "kms:UntagResource",
                "kms:ImportKeyMaterial",
                "kms:ScheduleKeyDeletion"
            ],
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::119285303511****:user/key_ramuser1"
                ]
            },
            "Resource": [
                "*"
            ]
        },
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
                "kms:TagResource"
            ],
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::119285303511****:user/key_ramuser2",
                    "acs:ram::190325303126****:user/key_ramuser3"
                ]
            },
            "Resource": [
                "*"
            ]
        }
    ],
    "Version": "1"
}

次のステップ

• キー ポリシーの設定

• 条件キー

• カスタムポリシー

• ポリシー評価プロセス