View a markdown version of this page

Configuration AWS KMS clés pour AWS Support autorisation - AWS Support
Exigences relatives aux clésComment ? AWS Support l'autorisation utilise votre AWS KMS cléDéclarations de politique clés requisesRévocation AWS Support autorisation d'accèsDésactiver ou supprimer la cléSurveillance de l'utilisation des clés

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration AWS KMS clés pour AWS Support autorisation

Exigences relatives aux clés

Une AWS KMS clé gérée par le client est requise pour la signature cryptographique des permis de support. Votre clé doit répondre aux exigences suivantes :

  • Spécification clé : ECC_NIST_P384

  • Utilisation des clés : SIGN_VERIFY

  • La clé doit se trouver dans la même AWS région que le permis d'assistance.

Le contenu de votre clé privée ne part jamais AWS KMS. Vous créez une subvention sur votre clé qui lui permet d'appeler DescribeKeyGetPublicKey, etSign. La subvention est limitée au permis de soutien et prend fin lorsque le permis de soutien est supprimé ou désactivé.

Comment ? AWS Support l'autorisation utilise votre AWS KMS clé

Lorsque vous créez un permis de support, votre AWS KMS clé est utilisée de la manière suivante :

  1. Utilise des sessions d'accès transféré pour appeler DescribeKey en votre nom, en vérifiant que la clé répond aux spécifications (ECC_NIST_P384) et à l'utilisation (SIGN_VERIFY) requises.

  2. Crée une subvention sur la clé en appelant CreateGrant en votre nom. La subvention permet DescribeKeyGetPublicKey, et les Sign opérations.

  3. Vérifie l'autorisation lorsqu'une AWS Support demande correspond à un permis de support existant en utilisant la subvention pour appeler Sign la clé. La signature qui en résulte vérifie que vous AWS Support êtes autorisé à effectuer l'action.

Déclarations de politique clés requises

Ajoutez les déclarations de politique suivantes à votre politique AWS KMS principale. Il s'agit des autorisations minimales requises pour AWS Support pouvoir utiliser votre clé.

{
  "Sid": "Allows access to CreateGrant through SupportAuthZ",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleRole"},
  "Action": ["kms:CreateGrant"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "supportauthz.us-east-1.amazonaws.com",
      "kms:GranteeServicePrincipal": "us-east-1.supportauthz.amazonaws.com",
      "kms:RetiringServicePrincipal": "us-east-1.supportauthz.amazonaws.com"
    },
    "ForAllValues:StringEquals": {
      "kms:GrantOperations": ["DescribeKey", "GetPublicKey", "Sign"]
    },
    "ArnLike": {
      "kms:GrantConstraintSourceArn": "arn:aws:supportauthz:us-east-1:111122223333:supportpermit/*"
    }
  }
},
{
  "Sid": "Allows access to DescribeKey through SupportAuthZ",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleRole"},
  "Action": ["kms:DescribeKey"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "supportauthz.us-east-1.amazonaws.com"
    }
  }
}

Ces instructions accordent les autorisations suivantes :

CreateGrant

Permet la création de subventions pour DescribeKeyGetPublicKey, et les Sign opérations. Les conditions limitent la création de subventions aux demandes effectuées par le biais du service AWS Support d'autorisation et dont le champ d'application est limité à la prise en charge des ressources liées aux permis dans votre compte. AWS Support l'autorisation utilise des sessions d'accès direct à appeler dans CreateGrant le cadre de la création d'un permis de support.

DescribeKey

Permet de vérifier que la clé répond aux spécifications et au type d'utilisation requis lorsque vous créez un permis d'assistance à l'aide de sessions d'accès direct.

Note

111122223333Remplacez-le par votre numéro de AWS compte et us-east-1 par la AWS région dans laquelle vous créez vos permis de support.

Révocation AWS Support autorisation d'accès

La méthode recommandée pour révoquer les autorisations de signature associées à votre clé est de révoquer l'autorisation. Cela empêche d'autres opérations de signature sans affecter les autres utilisations de la clé.

Pour répertorier et révoquer des AWS Support autorisations, procédez comme suit :

  1. Répertoriez les subventions sur la clé pour trouver l'identifiant de la subvention :

    aws kms list-grants \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

    Identifiez la subvention par son nom ou par l'ARN GrantConstraints source qui fait référence à votre permis de support.

  2. Révoquer la subvention :

    aws kms revoke-grant \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --grant-id grant-id-from-list-grants

Une fois que vous avez révoqué la subvention, de nouvelles autorisations signées ne peuvent plus être émises pour les permis de support utilisant cette clé. Étant donné que l' AWS KMS API suit un modèle de cohérence éventuel, il se peut qu'il y ait un bref délai avant que la modification ne soit disponible dans son intégralité AWS KMS.

Note

La révocation d'une subvention ne supprime pas le permis de soutien associé. Le permis de support reste à l'état ACTIF, mais les autorisations ne peuvent pas être signées pour celui-ci. Les subventions sont spécifiques à chaque permis de soutien. La création d'un nouveau permis de support avec la même AWS KMS clé ne rétablit pas la capacité de l' AWS Support autorisation à utiliser la clé pour le permis de support d'origine.

Désactiver ou supprimer la clé

Vous pouvez également désactiver ou planifier la suppression de la AWS KMS clé pour empêcher l' AWS Support autorisation d'émettre des autorisations signées. Toutefois, cela concerne toutes les utilisations de la clé, et pas seulement AWS Support l'autorisation.

Important

Les deux AWS KMS et AWS Support l'autorisation sont finalement cohérents. Une fois que vous avez désactivé ou planifié la suppression d'une clé, plusieurs minutes peuvent être nécessaires pour que la modification prenne pleinement effet. Pendant cette période, les autorisations signées peuvent continuer à être émises à l'aide de la clé. La révocation des subventions est également cohérente en fin de compte.

Si vous désactivez une touche, vous pouvez la réactiver dans la AWS KMS console ou en appelantEnableKey. Si vous supprimez une clé, elle ne peut pas être récupérée.

Surveillance de l'utilisation des clés

Lorsque votre AWS KMS clé est utilisée pour signer une autorisation, AWS CloudTrail enregistre l'opération de signature dans l'historique des événements de la clé. Vous pouvez utiliser ces événements pour vérifier quand et à quelle fréquence les autorisations sont signées en votre nom.