amazon-web-services - AWS IAM 和 KMS 策略 'muddlement'

Question

我希望一些 AWS 政策专家能够帮助我解码这里发生的事情。

我一直在研究 AWS 中的 IAM 和资源策略。根据 AWS 自己的文档，除非所有策略中有任何明确拒绝，否则资源策略应优先于 IAM 策略。请参阅显示 AWS 政策评估逻辑的附加链接。如果资源策略是“允许”，则不应评估 IAM 策略。

Policy Evaluation Logic

我(在使用 KMS 时)努力应对的挑战就是这个。我定义了一个如下所示的用户 IAM 策略:

{ 
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:DeleteAlias"
            ],
            "Resource": "*"
        }
    ]
}

它的唯一目的是允许用户删除 KMS CMK 别名。而且，我创建了一个 KMS CMK(资源策略)，如下所示:

{
    "Version": "2012-10-17",
    "Id": "key-consolepolicy-3",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::xxxxxxxxxxxx:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow access for Key Administrators",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::xxxxxxxxxxxx:user/user1"
                ]
            },
            "Action": [
                "kms:Create*",
                "kms:Delete*"
            ],
            "Resource": "*"
        },
}

我遇到的问题是，尽管 KMS 资源策略说我可以“CreateAlias”，但 AWS 不允许我这样做，除非 IAM 策略也明确包含它。

我希望有人能够向我解释 AWS 的策略逻辑实际上是如何工作的，以及我是否可能做错了什么。

非常感谢!

Answer 1

这是因为 kms 别名操作唯一并且需要 KMS key 和 IAM 策略权限。特别是 kms:CreateAlias must be allowed在 user1 的 key 策略和 IAM 策略中:

这意味着 KMS key 策略仅适用于 key ，而不适用于别名。