Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

# Kebijakan kunci KMS default dibuat di konsol CloudTrail
<a name="default-kms-key-policy"></a>

Jika Anda membuat AWS KMS key di CloudTrail konsol, kebijakan berikut akan dibuat secara otomatis untuk Anda. Kebijakan ini mengizinkan izin ini:
+ Mengizinkan izin Akun AWS (root) untuk kunci KMS.
+ Memungkinkan CloudTrail untuk mengenkripsi file log dan mencerna file di bawah kunci KMS dan menjelaskan kunci KMS.
+ Memungkinkan semua pengguna di akun yang ditentukan untuk mendekripsi file log dan mencerna file.
+ Memungkinkan semua pengguna di akun yang ditentukan untuk membuat alias KMS untuk kunci KMS.
+ Mengaktifkan dekripsi log lintas akun untuk ID akun akun yang membuat jejak. 

**Topics**
+ [Kebijakan kunci KMS default untuk jalur](#default-kms-key-policy-trail)
+ [Kebijakan kunci KMS default untuk penyimpanan data acara CloudTrail Lake](#default-kms-key-policy-eds)

## Kebijakan kunci KMS default untuk jalur
<a name="default-kms-key-policy-trail"></a>

Berikut ini adalah kebijakan default yang dibuat untuk AWS KMS key yang Anda gunakan dengan jejak.

**catatan**  
Kebijakan tersebut mencakup pernyataan untuk mengizinkan lintas akun mendekripsi file log dan mencerna file dengan kunci KMS.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Id": "Key policy created by CloudTrail",
    "Statement": [
        {
            "Sid": "Enable IAM user permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::{{111111111111}}:root",
                    "arn:aws:iam::{{111111111111}}:user/{{username}}"
                ]
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow CloudTrail to encrypt logs",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
             },
            "Action": "kms:GenerateDataKey*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:{{us-east-1}}:{{111111111111}}:trail/{{trail-name}}"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:{{111111111111}}:trail/*"
                }
            }
        },
        {
            "Sid": "Allow CloudTrail to describe key",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
             },
            "Action": "kms:DescribeKey",
            "Resource": "*"
        },
        {
            "Sid": "Allow principals in the account to decrypt log files",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
             },
            "Action": [
                "kms:Decrypt",
                "kms:ReEncryptFrom"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "{{111111111111}}"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:{{111111111111}}:trail/*"
                }
            }
        },
        {
            "Sid": "Enable cross account log decryption",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Decrypt",
                "kms:ReEncryptFrom"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "{{111111111111}}"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:{{111111111111}}:trail/*"
                }
            }
        }
    ]
}
```

------

## Kebijakan kunci KMS default untuk penyimpanan data acara CloudTrail Lake
<a name="default-kms-key-policy-eds"></a>

Berikut ini adalah kebijakan default yang dibuat untuk AWS KMS key yang Anda gunakan dengan penyimpanan data peristiwa di CloudTrail Lake.

------
#### [ JSON ]

****  

```
{
      "Version":"2012-10-17",		 	 	 
      "Id": "Key policy created by CloudTrail",
      "Statement": [
        {
          "Sid": "The key created by CloudTrail to encrypt event data stores. Created ${new Date().toUTCString()}",
          "Effect": "Allow",
          "Principal": {
            "Service": "cloudtrail.amazonaws.com"
          },
          "Action": [
            "kms:GenerateDataKey",
            "kms:Decrypt"
          ],
          "Resource": "*"
        },
        {
          "Sid": "Enable IAM user permissions",
          "Effect": "Allow",
          "Principal": {
                "AWS": "arn:aws:iam::{{111111111111}}:root"
          },
          "Action": "kms:*",
          "Resource": "*"
        },
        {
          "Sid": "Enable user to have permissions",
          "Effect": "Allow",
          "Principal": {
               "AWS" : "arn:aws:sts::{{111111111111}}:assumed-role/{{example-role-name}}"
        },
          "Action": [
            "kms:Decrypt",
            "kms:GenerateDataKey"
           ],
          "Resource": "*"
        }
      ]
    }
```

------