Para controlar quem pode gerenciar e usar uma chave, adicione ou remova usuários e funções do RAM na política da chave para designar administradores e usuários da chave. Este tópico descreve como configurar uma política de chave.
Configurar uma política de chave no console do KMS
Faça logon no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na aba Customer Master Keys, localize a chave desejada e clique em ID da chave ou em Details na coluna Actions.
-
Na página de detalhes, role até a seção Key Policy, clique em Configure Key Policy, configure a política da chave e clique em OK.
-
Edição gráfica: neste modo, atribua principais autorizados (usuários ou funções do RAM) a funções predefinidas usando as Permissões da política padrão (Action).
Administrator: os principais atribuídos a esta função podem executar operações de gerenciamento na chave, mas não podem realizar operações criptográficas. Você pode atribuir usuários e funções do RAM da conta atual do Alibaba Cloud.
User: os principais atribuídos a esta função só podem usar a chave para operações criptográficas. Você pode atribuir usuários e funções do RAM da conta atual do Alibaba Cloud.
-
Cross-account User:
ImportanteConceder permissões a um usuário ou função do RAM em outra conta do Alibaba Cloud consome a Cota de Gerenciamento de Acesso da sua instância do KMS. O consumo da cota é calculado pelo número de contas do Alibaba Cloud. Após revogar a autorização, a cota será restituída em aproximadamente 5 minutos.
Você também deve configurar as permissões de chave correspondentes para o usuário ou função do RAM no console do RAM antes que o principal possa usar a chave. Para mais informações, consulte Custom policies, Manage RAM user permissions e Manage permissions for a RAM role.
Este pode ser um usuário ou função do RAM em outra conta do Alibaba Cloud. Principais entre contas só podem usar a chave para operações criptográficas.
-
Clique em Add ARN of Cross-account User e insira o ARN do principal autorizado. Obtenha o ARN na página de detalhes do usuário ou da função no console do RAM.
Usuário do RAM: Formato:
acs:ram::<Other Alibaba Cloud account ID>:user/<ramuser>. Exemplo:acs:ram::119285303511****:user/testpolicyuser.Função do RAM: Formato:
acs:ram::<Other Alibaba Cloud account ID>:role/<ramrole>. Exemplo:acs:ram::119285303511****:role/testpolicyrole.
-
Syntax Editor: modifique ou adicione instruções de permissão diretamente no editor de sintaxe. O exemplo a seguir mostra uma configuração de amostra.
-
Cenário: este exemplo configura uma política de chave para uma chave pertencente à conta do Alibaba Cloud 119285303511****.
A conta atual do Alibaba Cloud (119285303511****) tem acesso total para gerenciar e usar a chave. Recomendamos não modificar esta instrução.
Permite que o usuário do RAM (key_ramuser1) na conta atual do Alibaba Cloud (119285303511****) gerencie a chave.
Permite que o usuário do RAM (key_ramuser2) na conta atual do Alibaba Cloud (119285303511**) e o usuário do RAM (key_ramuser3) em outra conta do Alibaba Cloud (190325303126**) usem a chave.
-
Exemplo de sintaxe:
{ "Statement": [ { "Action": [ "kms:*" ], "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::119285303511****:*" ] }, "Resource": [ "*" ], "Sid": "kms default key policy" }, { "Action": [ "kms:List*", "kms:Describe*", "kms:Create*", "kms:Enable*", "kms:Disable*", "kms:Get*", "kms:Set*", "kms:Update*", "kms:Delete*", "kms:Cancel*", "kms:TagResource", "kms:UntagResource", "kms:ImportKeyMaterial", "kms:ScheduleKeyDeletion" ], "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::119285303511****:user/key_ramuser1" ] }, "Resource": [ "*" ] }, { "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey", "kms:GenerateAndExportDataKey", "kms:AsymmetricEncrypt", "kms:AsymmetricDecrypt", "kms:DescribeKey", "kms:DescribeKeyVersion", "kms:ListKeyVersions", "kms:ListAliasesByKeyId", "kms:TagResource" ], "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::119285303511****:user/key_ramuser2", "acs:ram::190325303126****:user/key_ramuser3" ] }, "Resource": [ "*" ] } ], "Version": "1" }NotaNo exemplo anterior, o campo
Resourcesó pode ser definido como["*"], o que indica que a política se aplica à chave atual.
-
-
Limites
Políticas de chave são suportadas apenas para Customer Master Keys.
A política de chave deve estar no formato JSON e não pode exceder 32.768 bytes.
-
As seguintes ações podem ser especificadas em uma política de chave:
AvisoAções fora desta lista não têm efeito.
"Action": [ "kms:List*", "kms:Describe*", "kms:Create*", "kms:Enable*", "kms:Disable*", "kms:Get*", "kms:Set*", "kms:Update*", "kms:Delete*", "kms:Cancel*", "kms:TagResource", "kms:UntagResource", "kms:ImportKeyMaterial", "kms:ScheduleKeyDeletion" "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey", "kms:GenerateAndExportDataKey", "kms:AsymmetricEncrypt", "kms:AsymmetricDecrypt", "kms:DescribeKey", "kms:DescribeKeyVersion", "kms:ListKeyVersions", "kms:ListAliasesByKeyId", "kms:TagResource" ] -
Autorização de chave entre contas: para autorizar um usuário ou função do RAM em outra conta do Alibaba Cloud a usar uma chave da sua conta, configure as permissões em ambas as contas:
Configure a política de chave no console do KMS para conceder a permissão de uso à conta de destino. Adicione uma instrução de política para Cross-account User.
A conta de destino deve configurar as permissões de chave correspondentes para seu usuário ou função do RAM no console do RAM.
Permissões da política padrão (Action)
Administrator
Os principais atribuídos a esta função podem executar operações de gerenciamento na chave, mas não podem realizar operações criptográficas.
"Action": [
"kms:List*",
"kms:Describe*",
"kms:Create*",
"kms:Enable*",
"kms:Disable*",
"kms:Get*",
"kms:Set*",
"kms:Update*",
"kms:Delete*",
"kms:Cancel*",
"kms:TagResource",
"kms:UntagResource",
"kms:ImportKeyMaterial",
"kms:ScheduleKeyDeletion"
]Usuário da chave/usuário da chave entre contas
Os principais atribuídos a esta função só podem usar a chave para operações criptográficas.
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:GenerateDataKey",
"kms:GenerateAndExportDataKey",
"kms:AsymmetricEncrypt",
"kms:AsymmetricDecrypt",
"kms:DescribeKey",
"kms:DescribeKeyVersion",
"kms:ListKeyVersions",
"kms:ListAliasesByKeyId",
"kms:TagResource"
]FAQ
-
Qual é a relação entre uma política de chave e uma política de permissão do RAM?
Uma política de chave e uma política de permissão do RAM controlam o acesso às chaves do KMS sob perspectivas diferentes. Após adicionar um usuário ou função do RAM a uma política de chave, você também deve configurar uma política de permissão do RAM para gerenciar as permissões de operação do KMS já definidas para esse usuário ou função no console do RAM.
NotaPara obter informações sobre as prioridades de avaliação de permissões, consulte Permission evaluation priority.
Key Policy: uma política no nível de recurso anexada a uma chave específica. Ela declara quais identidades (usuários do RAM, funções do RAM ou contas do Alibaba Cloud) podem gerenciar ou usar a chave.
Política de permissão do RAM: uma política no nível de identidade anexada a um usuário ou função do RAM. Ela declara quais ações do KMS a identidade pode executar.