기준 KMS 키 및 IAM 정책 설명

여기에 제공된 기본 KMS 키 및 자격 증명 기반 정책은 공통 요구 사항의 기반 역할을 합니다. 또한 특정 IAM Identity Center 인스턴스 또는 AWS 관리형 애플리케이션에서만 KMS 키에 액세스할 수 있는지 확인하는 등 보다 세분화된 액세스 제어를 제공하는 고급 KMS 키 정책 설명를 검토하는 것이 좋습니다. 고급 KMS 키 정책 설명을 사용하기 전에 기준 및 고급 KMS 키 정책 설명 선택 시 고려 사항 섹션을 검토합니다.

다음 섹션에서는 각 사용 사례에 대한 기준 정책 설명을 제공합니다. 사용 사례에 맞는 섹션을 확장하고 KMS 키 정책 설명을 복사합니다. 그런 다음 로 돌아갑니다2단계: KMS 키 정책 설명 준비.

2단계: KMS 키 정책 설명 준비에서 다음 KMS 키 정책 설명 템플릿을 사용하여 IAM Identity Center, 연관된 Identity Store 및 IAM Identity Center 관리자가 KMS 키를 사용하도록 허용합니다.

관리자 정책 설명의 보안 주체 요소에서 "arn:aws:iam::111122223333:root" 형식을 사용하여 AWS 조직 관리 계정 및 위임된 관리 계정인 IAM Identity Center 관리 계정의 계정 보안 주체를 지정합니다 AWS .
PrincipalArn 요소에서 예제 ARN을 IAM Identity Center 관리자의 IAM 역할로 바꿉니다.

다음 중 하나를 지정할 수 있습니다.
- 특정 IAM 역할 ARN:
  
  "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/ap-southeast-2/AWSReservedSSO_permsetname_12345678"
- 와일드카드 패턴(권장):
  
  "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/ap-southeast-2/AWSReservedSSO_permsetname_*"
Identity Center는 다시 생성된 권한 세트에 대한 새 고유 식별자를 생성하므로 와일드카드(*)를 사용하면 권한 세트를 삭제하고 다시 생성할 때 액세스 손실을 방지할 수 있습니다. 구현 예제는 섹션을 참조사용자 지정 신뢰 정책 예하세요.
SourceAccount 요소에서 IAM Identity Center 계정 ID를 지정합니다.
Identity Store에는 KMS 키를 사용할 수 있어야 하는 자체 서비스 위탁자 identitystore.amazonaws.com이 있습니다.
이러한 정책 설명을 통해 특정 AWS 계정의 IAM Identity Center 인스턴스가 KMS 키를 사용할 수 있습니다. 특정 IAM Identity Center 인스턴스에 대한 액세스를 제한하려면 고급 KMS 키 정책 설명 섹션을 참조하세요. 각 AWS 계정에 대해 IAM Identity Center 인스턴스를 하나만 가질 수 있습니다.

KMS 키 정책 설명


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root",
          "arn:aws:iam::444455556666:root"
        ]
      },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_*",
            "arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_*"
          ]
        },
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root",
          "arn:aws:iam::444455556666:root"
        ]
      },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_*",
            "arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_*"
          ]
        },
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAdminToDescribeTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root",
          "arn:aws:iam::444455556666:root"
        ]
      },
      "Action": "kms:DescribeKey",
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_*",
            "arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_*"
          ]
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterToUseTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": "sso.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        },
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        }
      }
    },
    {
      "Sid": "AllowIdentityStoreToUseTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": "identitystore.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        },
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAndIdentityStoreToDescribeKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "identitystore.amazonaws.com",
          "sso.amazonaws.com"
        ]
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성에서 다음 IAM 정책 설명 템플릿을 사용하여 IAM Identity Center 관리자가 KMS 키를 사용하도록 허용합니다.

Resource 요소의 예제 키 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 필요한 식별자를 찾을 수 있는 위치 섹션을 참조하세요.
이러한 IAM 정책 문은 KMS 키에 IAM 보안 주체에 대한 액세스 권한을 부여하지만 어떤 AWS 서비스가 요청할 수 있는지는 제한하지 않습니다. KMS 키 정책은 일반적으로 이러한 서비스 제한을 제공합니다. 그러나 이 IAM 정책에 암호화 컨텍스트를 추가하여 특정 Identity Center 인스턴스로 사용을 제한할 수 있습니다. 자세한 내용은 고급 KMS 키 정책 설명 섹션을 참조하세요.

IAM Identity Center의 위임된 관리자에게 필요한 IAM 정책 설명


{
  "Version": "2012-10-17", 
  "Statement": [{
      "Sid": "IAMPolicyToAllowIAMIdentityCenterAdminToUseKMSkey",
      "Effect": "Allow",
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Sid": "IAMPolicyToAllowIAMIdentityCenterAdminToListKeyAliases",
      "Effect": "Allow",
      "Action": "kms:ListAliases",
      "Resource": "*"
    }
  ]
}

참고

일부 AWS 관리형 애플리케이션은 고객 관리형 KMS 키로 구성된 IAM Identity Center와 함께 사용할 수 없습니다. 자세한 내용은 IAM Identity Center에서 작동하는AWS 관리형 애플리케이션을 참조하세요.

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 AWS 관리형 애플리케이션과 관리자가 모두 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다.

PrincipalOrgID 및 SourceOrgId 조건에 AWS Organizations ID를 삽입합니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 필요한 식별자를 찾을 수 있는 위치 섹션을 참조하세요.
이러한 정책 설명을 통해 AWS 조직의 모든 AWS 관리형 애플리케이션과 모든 IAM 보안 주체(애플리케이션 관리자)는 IAM Identity Center 및 Identity Store를 사용하여 kms:Decrypt를 사용할 수 있습니다. 이러한 정책 설명을 특정 AWS 관리형 애플리케이션, 계정 또는 IAM Identity Center 인스턴스로 제한하려면 고급 KMS 키 정책 설명 섹션을 참조하세요.

*를 특정 IAM 위탁자로 대체하여 특정 애플리케이션 관리자에 대한 액세스를 제한할 수 있습니다. 권한 세트를 다시 생성할 때 IAM 역할 이름 변경을 방지하려면 사용자 지정 신뢰 정책 예의 접근 방식을 사용합니다. 자세한 내용은 기준 및 고급 KMS 키 정책 설명 선택 시 고려 사항 단원을 참조하십시오.

KMS 키 정책 설명


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowAppAdminsInTheSameOrganizationToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "o-a1b2c3d4e5"
        },
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowAppAdminsInTheSameOrganizationToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "o-a1b2c3d4e5"
        },
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowManagedAppsToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        },
        "StringEquals": {
          "aws:SourceOrgID": "o-a1b2c3d4e5"
        }
      }
    },
    {
      "Sid": "AllowManagedAppsToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        },
        "StringEquals": {
          "aws:SourceOrgID": "o-a1b2c3d4e5"
        }
      }
    }
  ]
}

4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성에서 다음 IAM 정책 설명 템플릿을 사용하여 AWS 관리형 애플리케이션의 관리자가 멤버 계정의 KMS 키를 사용하도록 허용합니다.

리소스 요소의 예제 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 필요한 식별자를 찾을 수 있는 위치 섹션을 참조하세요.
일부 AWS 관리형 애플리케이션은 IAM Identity Center 서비스 APIs. IAM Identity Center에서 고객 관리형 키를 구성하기 전에 이러한 권한이 KMS 키 사용도 허용하는지 확인합니다. 특정 KMS 키 권한 요구 사항은 배포한 각 AWS 관리형 애플리케이션에 대한 설명서를 참조하세요.

AWS 관리형 애플리케이션의 관리자에게 필요한 IAM 정책 설명:


{
  "Version": "2012-10-17", 
  "Statement": [{
    "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityCenterAndIdentityStore",
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "Condition": {
      "StringLike": {
        "kms:ViaService": [
          "sso.*.amazonaws.com",
          "identitystore.*.amazonaws.com"
        ]
      }
    }
  }]
}

에서 다음 KMS 키 문 템플릿을 사용하여 AWS Control Tower 관리자가 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다.

위탁자 요소에서 IAM Identity Center 서비스 API에 액세스하는 데 사용되는 IAM 위탁자를 지정합니다. IAM 위탁자에 대한 자세한 내용은 IAM 사용 설명서의 위탁자 지정을 참조하세요.
이러한 정책 설명을 통해 AWS Control Tower 관리자는 모든 IAM Identity Center 인스턴스를 통해 KMS 키를 사용할 수 있습니다. 그러나 AWS Control Tower는 동일한 조직에 있는 IAM Identity Center의 AWS 조직 인스턴스에 대한 액세스를 제한합니다. 이러한 제한으로 인해 고급 KMS 키 정책 설명에 설명된 대로 KMS 키를 특정 IAM Identity Center 인스턴스로 추가로 제한하면 실질적인 이점이 없습니다.
권한 세트를 다시 생성할 때 IAM 역할 이름 변경을 방지하려면 사용자 지정 신뢰 정책 예에 설명된 접근 방식을 사용합니다.

KMS 키 정책 문:


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowControlTowerAdminRoleToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/AWSControlTowerAdmin"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowControlTowerAdminRoleToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/AWSControlTowerAdmin"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

AWS Control Tower 는 위임된 관리를 지원하지 않으므로 관리자를 위해 IAM 정책을 구성할 필요가 없습니다.

중요

앞의 정책 문은가 AWSControlTowerAdmin 역할을 AWS Control Tower 수임하는 계정의 자동 등록과 같은 AWS Control Tower 서비스 관리형 작업을 다룹니다. 그러나 Account Factory를 통한 계정 프로비저닝 또는 직접 AWS Control Tower APIs 호출과 같이 고객이 시작한 작업의 경우는 전달 액세스 세션(FAS)을 AWS Control Tower 사용하고 고객의 자체 IAM 역할로 작동합니다. 즉, 이러한 작업을 시작하는 데 사용하는 IAM 역할에는 고객 관리형 KMS 키에 대한 kms:Decrypt 권한도 필요합니다.

위의 문과 함께 다음 KMS 키 정책 AWSControlTowerAdmin 문을 추가합니다. MyControlTowerRole을 IAM Identity Center 권한 세트 역할(예: AWSReservedSSO_PermissionSetName_*), 자동화를 위한 사용자 지정 IAM 역할 또는 AWS Control Tower 또는 AWS Service Catalog API를 호출하는 데 사용되는 기타 역할과 AWS Control Tower같이 상호 작용하는 데 사용하는 IAM 역할의 ARN으로 바꿉니다. APIs

고객 시작 AWS Control Tower 작업에 대한 KMS 키 정책 설명:


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowCustomerRoleToUseTheKMSKeyViaIdentityCenterForControlTower",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyControlTowerRole"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"          
        }
      }
    },
    {
      "Sid": "AllowCustomerRoleToUseTheKMSKeyViaIdentityStoreForControlTower",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyControlTowerRole"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 Amazon EC2 인스턴스에 대한 Single Sign-On(SSO) 사용자가 계정 간에 KMS 키를 사용할 수 2단계: KMS 키 정책 설명 준비 있도록 허용합니다.

위탁자 필드에서 IAM Identity Center에 액세스하는 데 사용되는 IAM 위탁자를 지정합니다. IAM 위탁자에 대한 자세한 내용은 IAM 사용 설명서의 위탁자 지정을 참조하세요.
이 정책 문은 모든 IAM Identity Center 인스턴스가 KMS 키를 사용하도록 허용합니다. 특정 IAM Identity Center 인스턴스에 대한 액세스를 제한하려면 고급 KMS 키 정책 설명 섹션을 참조하세요.
권한 세트를 다시 생성할 때 IAM 역할 이름 변경으로부터 보호하려면 사용자 지정 신뢰 정책 예제에 설명된 접근 방식을 사용합니다.

KMS 키 정책 설명


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowIAMIdentityCenterPermissionSetRoleToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_MyPermissionSet_1a2b3c4d5e6f7g8h"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"

        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterPermissionSetRoleToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_MyPermissionSet_1a2b3c4d5e6f7g8h"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

에서 다음 IAM 정책 설명 템플릿을 사용하여 EC2 인스턴스에 대한 SSO가 KMS 키를 사용하도록 4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성 허용합니다.

Amazon EC2 인스턴스에 대한 SSO 액세스를 허용하는 데 사용하는 IAM Identity Center의 기존 권한 세트에 IAM 정책 설명을 연결합니다. IAM 정책 예제는 AWS Systems Manager 사용 설명서의 원격 데스크톱 프로토콜 연결을 참조하세요.

리소스 요소의 예제 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 필요한 식별자를 찾을 수 있는 위치 섹션을 참조하세요.

권한 세트 IAM 정책:


{
  "Version": "2012-10-17", 
  "Statement": [{
    "Sid": "IAMPolicyToAllowKMSKeyUseViaIdentityCenterAndIdentityStore",
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "Condition": {
      "StringLike": {
        "kms:ViaService": [
          "sso.*.amazonaws.com",
          "identitystore.*.amazonaws.com"
        ]
      }
    }
  }]
}

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 AWS Organizations 관리 계정 또는 위임된 관리 계정의 고객 관리형 애플리케이션과 같은 사용자 지정 워크플로가 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다. 고객 관리형 애플리케이션에 대한 SAML 페더레이션에는 KMS 키 권한이 필요하지 않습니다.

위탁자 요소에서 IAM Identity Center 서비스 API에 액세스하는 데 사용되는 IAM 위탁자를 지정합니다. IAM 위탁자에 대한 자세한 내용은 IAM 사용 설명서의 위탁자 지정을 참조하세요.
이러한 정책 설명을 사용하여 워크플로는 IAM Identity Center 인스턴스를 통해 KMS 키를 사용할 수 있습니다. 특정 IAM Identity Center 인스턴스에 대한 액세스를 제한하려면 고급 KMS 키 정책 설명 섹션을 참조하세요.
권한 세트를 다시 생성할 때 IAM 역할 이름 변경으로부터 보호하려면 사용자 지정 신뢰 정책 예에 설명된 접근 방식을 사용합니다.

KMS 키 정책 문:


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowCustomWorkflowToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyCustomWorkflowRole"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowCustomWorkflowToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyCustomWorkflowRole"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성에서 다음 IAM 정책 설명 템플릿을 사용하여 사용자 지정 워크플로와 연관된 IAM 위탁자가 계정 간에 KMS 키를 사용하도록 허용합니다. IAM 위탁자에 IAM 정책 설명을 추가합니다.

리소스 요소의 예제 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 필요한 식별자를 찾을 수 있는 위치 섹션을 참조하세요.

IAM 정책 설명(교차 계정 사용에만 필요):


{
  "Version": "2012-10-17", 
  "Statement": [{
    "Sid": "AllowCustomWorkflowToUseTheKMSKeyViaIdentityCenterAndIdentityStore",
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "Condition": {
      "StringLike": {
        "kms:ViaService": [
          "sso.*.amazonaws.com",
          "identitystore.*.amazonaws.com"
        ]
      }
    }
  }]
}

일반적인 사용 사례에 대한 KMS 키 정책 설명의 예

위임된 관리자 및 AWS 관리형 애플리케이션이 있는 IAM Identity Center

이 섹션에는 위임된 관리자 및 AWS 관리형 애플리케이션이 있는 IAM Identity Center 인스턴스에 사용할 수 있는 예제 KMS 키 정책 설명이 포함되어 있습니다.

중요

KMS 키 정책 문은 IAM Identity Center 인스턴스가 KMS 키 권한이 필요한 다른 사용 사례에 사용되지 않는다고 가정합니다. 확인을 위해 모든 사용 사례를 검토할 수 있습니다. 또한 관리형 애플리케이션에 추가 구성이 필요한지 확인하려면 섹션을 참조하세요 AWS . 일부 AWS 관리형 애플리케이션의 추가 구성

테이블 아래에 KMS 키 정책 설명을 복사하여 KMS 키 정책에 추가합니다. 이 예제에서는 다음 예제 값을 사용합니다.

111122223333 - IAM Identity Center 인스턴스의 계정 ID
444455556666 - 위임된 관리 계정 ID
o-a1b2c3d4e5 - AWS 조직 ID
arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_* - 권한 세트 관리자에서 프로비저닝된 IAM Identity Center 관리자의 IAM 역할의 와일드카드 패턴입니다. 이러한 역할에는 기본 리전(이 예제에서는 us-east-1)의 리전 코드가 포함됩니다.
arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_* - 권한 세트 DelegatedAdmin에서 프로비저닝된 IAM Identity Center 위임된 관리자의 IAM 역할의 와일드카드 패턴입니다. 이러한 역할에는 기본 리전(이 예제에서는 us-east-1)의 리전 코드가 포함됩니다.

권한 세트에서 IAM 역할이 생성되지 않은 경우 IAM 역할은와 같은 일반 역할처럼 보입니다arn:aws:iam::111122223333:role/idcadmin.


{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root",
          "arn:aws:iam::444455556666:root"
        ]
      },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_*",
            "arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_*"
          ]
        },
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root",
          "arn:aws:iam::444455556666:root"
        ]
      },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_*",
            "arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_*"
          ]
        },
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAdminToDescribeTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root",
          "arn:aws:iam::444455556666:root"
        ]
      },
      "Action": "kms:DescribeKey",
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_Admin_*",
            "arn:aws:iam::444455556666:role/aws-reserved/sso.amazonaws.com/us-east-1/AWSReservedSSO_DelegatedAdmin_*"
          ]
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterToUseTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": "sso.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        },
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        }
      }
    },
    {
      "Sid": "AllowIdentityStoreToUseTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": "identitystore.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        },
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAndIdentityStoreToDescribeKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "identitystore.amazonaws.com",
          "sso.amazonaws.com"
        ]
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
 
   {
      "Sid": "AllowAppAdminsInTheSameOrganizationToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "o-a1b2c3d4e5"
        },
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowAppAdminsInTheSameOrganizationToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "o-a1b2c3d4e5"
        },
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowManagedAppsToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        },
        "StringEquals": {
          "aws:SourceOrgID": "o-a1b2c3d4e5"
        }
      }
    },
    {
      "Sid": "AllowManagedAppsToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        },
        "StringEquals": {
          "aws:SourceOrgID": "o-a1b2c3d4e5"
        }
      }
    }
  ]
}

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

고객 관리형 KMS 키 구현

고급 KMS 키 정책 설명