Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# Claves de condición para Nitro Enclaves
<a name="conditions-nitro-enclave"></a>

Las siguientes claves de condición son específicas de la certificación de Nitro Enclaves:

## km: RecipientAttestation:ImageSha384
<a name="conditions-kms-recipient-image-sha"></a>


| AWS KMS Claves de estado | Tipo de condición | Tipo de valor | Operaciones de API | Tipo de política | 
| --- | --- | --- | --- | --- | 
| `kms:RecipientAttestation:ImageSha384` | Cadena | Single-valued | `Decrypt`<br />`DeriveSharedSecret`<br />`GenerateDataKey`<br />`GenerateDataKeyPair`<br />`GenerateRandom` | Políticas de claves y políticas de IAM | 

La clave de condición `kms:RecipientAttestation:ImageSha384` controla el acceso a `Decrypt`, `DeriveSharedSecret`, `GenerateDataKey`, `GenerateDataKeyPair` y `GenerateRandom` con una clave KMS cuando el resumen de la imagen del documento de certificación firmado de la solicitud coincide con el valor de la clave de condición. El valor `ImageSha384` corresponde a PCR0 en el documento de certificación. Esta clave de condición solo entra en vigor cuando el `Recipient` parámetro de la solicitud especifica un documento de certificación firmado para un enclave de AWS Nitro.

Este valor también se incluye en los [CloudTraileventos](ct-nitro-enclave.md) relacionados con las solicitudes de enclaves de AWS KMS Nitro.

Por ejemplo, la siguiente declaración de política clave permite al `data-processing` rol usar la clave KMS para [descifrar](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html), [DeriveSharedSecret[GenerateDataKey[GenerateDataKeyPair](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKeyPair.html)](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKey.html)](https://docs.aws.amazon.com/kms/latest/APIReference/API_DeriveSharedSecret), y las operaciones. [GenerateRandom](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateRandom.html) La clave de condición `kms:RecipientAttestation:ImageSha384` permite las operaciones solo cuando el valor de resumen de imagen (PCR0) del documento de certificación en la solicitud coincida con el valor de resumen de imagen de la condición. Esta clave de condición solo entra en vigor cuando el `Recipient` parámetro de la solicitud especifica un documento de certificación firmado para un AWS enclave de Nitro.

Si la solicitud no incluye un documento de certificación válido de un enclave de AWS Nitro, se deniega el permiso porque no se cumple esta condición.

```
{
  "Sid" : "Enable enclave data processing",
  "Effect" : "Allow",
  "Principal" : {
    "AWS" : "arn:aws:iam::111122223333:role/data-processing"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DeriveSharedSecret",
    "kms:GenerateDataKey",
    "kms:GenerateDataKeyPair",
    "kms:GenerateRandom"
  ],
  "Resource" : "*",
  "Condition": {
    "StringEqualsIgnoreCase": {
      "kms:RecipientAttestation:ImageSha384": "9fedcba8abcdef7abcdef6abcdef5abcdef4abcdef3abcdef2abcdef1abcdef1abcdef0abcdef1abcdef2abcdef3abcdef4abcdef5abcdef6abcdef7abcdef99"
    }
  }
}
```

## kms: PCR\_ID RecipientAttestation:PCR < >
<a name="conditions-kms-recipient-pcrs"></a>


| AWS KMS Claves de condición | Tipo de condición | Tipo de valor | Operaciones de API | Tipo de política | 
| --- | --- | --- | --- | --- | 
| `kms:RecipientAttestation:PCR<PCR_ID>` | Cadena | Single-valued | `Decrypt`<br />`DeriveSharedSecret`<br />`GenerateDataKey`<br />`GenerateDataKeyPair`<br />`GenerateRandom` | Políticas de claves y políticas de IAM | 

La clave de condición `kms:RecipientAttestation:PCR<PCR_ID>` controla el acceso a `Decrypt`, `DeriveSharedSecret`, `GenerateDataKey`, `GenerateDataKeyPair` y `GenerateRandom` con una clave KMS solo cuando los registros de configuración de la plataforma (PCR) del documento de certificación firmado en la solicitud coincidan con los PCR de la clave de condición. Esta clave de condición solo entra en vigor cuando el `Recipient` parámetro de la solicitud especifica un documento de certificación firmado desde un enclave de AWS Nitro.

Este valor también se incluye en los [CloudTraileventos](ct-nitro-enclave.md) que representan solicitudes de acceso a AWS KMS enclaves de Nitro.

Para especificar un valor de PCR, utilice el siguiente formato. Concatene el ID de PCR con el nombre de la clave de condición. Puede especificar un ID de PCR que identifique una de las [seis mediciones del enclave](https://docs.aws.amazon.com/enclaves/latest/user/set-up-attestation.html#where) o un ID de PCR personalizado que haya definido para un caso de uso específico. El valor de PCR debe ser una cadena hexadecimal en minúsculas de hasta 96 bytes.

```
"kms:RecipientAttestation:PCR{{PCR_ID}}": "{{PCR_value}}"
```

Por ejemplo, la siguiente clave de condición especifica un valor particular para PCR1, que corresponde al hash del kernel utilizado para el enclave y el proceso de arranque.

```
kms:RecipientAttestation:PCR1: "abc1abcdef2abcdef3abcdef4abcdef5abcdef6abcdef7abcdef8abcdef9abcdef8abcdef7abcdef6abcdef5abcdef4abcdef3abcdef2abcdef1abcdef0abcde"
```

Por ejemplo, la siguiente declaración de política de claves permite al rol `data-processing` utilizar la clave de KMS para la operación [Decrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html).

La clave de condición `kms:RecipientAttestation:PCR` en esta declaración permite la operación solo cuando el valor PCR1 del documento de conformidad firmado en la solicitud coincide con el valor `kms:RecipientAttestation:PCR1` de la condición. Use el operador de política `StringEqualsIgnoreCase` para requerir una comparación entre mayúsculas y minúsculas de los valores de PCR.

Si la solicitud no incluye un documento de certificación, se deniega el permiso porque esta condición no se cumple.

```
{
  "Sid" : "Enable enclave data processing",
  "Effect" : "Allow",
  "Principal" : {
    "AWS" : "arn:aws:iam::111122223333:role/data-processing"
  },
  "Action": "kms:Decrypt",
  "Resource" : "*",
  "Condition": {
    "StringEqualsIgnoreCase": {
      "kms:RecipientAttestation:PCR1": "abc1de4f2dcf774f6e3b679f62e5f120065b2e408dcea327bd1c9dddaea6664e7af7935581474844767453082c6f1586116376cede396a30a39a611b9aad7966c87"
    }
  }
}
```