只授予Amazon别名密钥访问权限的IAM策略

Question

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "NotAction": [
        "iam:*",
        "kms:*"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:MultiFactorAuthAge": "false"
        }
      }
    },
    {
      "Effect": "Allow",
      "Resource": "arn:aws:kms:us-east-1:111111111111:alias/aws/*",
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Condition": {
        "Null": {
          "aws:MultiFactorAuthAge": "false"
        }
      }  
    }
  ]
}

使用IAM策略模拟器时，似乎必须提供对完整密钥arn的访问(arn:aws:kms:us-East-1:111111111111:key/ABCD123-ACBD-1234-ABCD-ACBCD1234ABCD)，而不是别名(arn:aws:kms:us-East-1:1111111111:alias/AWS/*)

有没有更好的办法来管理这个？

我知道我可以使用密钥策略管理对CMKs的访问，并且不允许从IAM进行访问，但是您不能在KMS密钥策略中使用组作为主体

Answer 1

您可以使用密钥别名作为API的资源，这些API用于控制对作用于别名本身的API的访问（例如，创建/删除别名），并且别名不能用作ARN来代替密钥ID来控制对基础密钥的访问。您可以参考以下URL中的表，该表解释了在KMS API中使用哪种资源/ARN。

http://docs.aws.amazon.com/kms/latest/developerguide/kms-api-permissions-reference.html

您可以考虑采用以下方法：允许IAM组承担IAM角色，并允许在CMK的密钥策略中使用IAM角色。