Schlüsselrichtlinien, Grants und Bedingungen

Einen Schlüssel zu erstellen ist nur die halbe Aufgabe; zu kontrollieren, wer ihn verwenden darf, ist die andere Hälfte. KMS verwendet mehrere, aufeinander aufbauende Zugriffmechanismen.

Am wichtigsten ist die Schlüsselrichtlinie, also die direkt an den Schlüssel angehängte ressourcenbasierte Richtlinie.

Jeder KMS-Schlüssel besitzt eine Schlüsselrichtlinie, die maßgebliche Instanz für den Zugriff ist.

• Anders als bei den meisten Services muss ein KMS-Schlüssel eine Schlüsselrichtlinie besitzen.
• Wenn die Schlüsselrichtlinie keinen Zugriff gewährt, können IAM-Richtlinien dies allein nicht tun.

Damit fungiert die Schlüsselrichtlinie als Zugangskontrolle.

Der Zugriff auf einen KMS-Schlüssel setzt voraus, dass die Schlüsselrichtlinie IAM aktiviert; anschließend wirken IAM und Schlüsselrichtlinie zusammen.

Die Standardschlüsselrichtlinie enthält eine Anweisung, die den IAM-Prinzipalen des Kontos Zugriff gewährt, vorbehaltlich ihrer IAM-Richtlinien. Ohne diese Anweisung können nur Prinzipale den Schlüssel verwenden, die direkt in der Schlüsselrichtlinie genannt sind.

Ein Grant ist eine flexible, vorübergehende Möglichkeit, die Verwendung eines Schlüssels zu delegieren.

• Er erlaubt einem Prinzipal bestimmte Operationen, häufig programmgesteuert.
• AWS-Services verwenden Grants, um in Ihrem Namen auf Schlüssel zuzugreifen.

Grants können zurückgezogen oder widerrufen werden, sobald sie nicht mehr benötigt werden – ideal für kurzzeitige Delegierung.

Wählen Sie nach Gültigkeitsdauer und Granularität:

• Verwenden Sie die Schlüsselrichtlinie und IAM für dauerhaften, breit gefassten Zugriff.
• Verwenden Sie Grants für fein abgestufte, vorübergehende Berechtigungen, die häufig dynamisch von Services oder Anwendungen erstellt werden.

Mit Grants müssen Sie die Schlüsselrichtlinie für kurzfristige Anforderungen nicht ändern.

KMS unterstützt leistungsfähige Bedingungsschlüssel in Richtlinien, beispielsweise kms:ViaService.

ViaService beschränkt die Schlüsselverwendung auf Anfragen, die über einen bestimmten AWS-Service eingehen (etwa ausschließlich über S3). Ein Prinzipal kann dann nur entschlüsseln, wenn S3 den Aufruf durchführt, nicht direkt.

Der Verschlüsselungskontext ist eine Menge von Schlüssel-Wert-Paaren, die zusammen mit encrypt/decrypt übergeben und kryptografisch an die Operation gebunden wird.

• Beim Entschlüsseln muss derselbe Kontext übergeben werden.
• Er wird in CloudTrail zur Prüfung protokolliert.

Richtlinien können mit der Bedingung kms:EncryptionContext einen bestimmten Kontext voraussetzen.

Damit ein anderes Konto einen Schlüssel verwenden kann, muss die Schlüsselrichtlinie dieses externe Konto zulassen; außerdem benötigt der externe Prinzipal eine entsprechende IAM-Berechtigung.

Dies entspricht dem zweiseitigen Muster bei kontenübergreifenden Rollen: Die Ressourcenrichtlinie (hier die Schlüsselrichtlinie) und die IAM-Richtlinie des Aufrufers müssen die Aktion beide erlauben.

Wenden Sie bei Schlüsseln das Prinzip der geringsten Berechtigung an:

• Trennen Sie Schlüsseladministratoren (verwalten den Schlüssel) von Schlüsselbenutzern (verschlüsseln und entschlüsseln).
• Vermeiden Sie kms:* für Benutzer.
• Schränken Sie den Geltungsbereich mit ViaService und dem Verschlüsselungskontext weiter ein.

Dadurch wird der Schadensradius begrenzt, falls ein Prinzipal kompromittiert wird.

Ein klassischer Fehler besteht darin, eine Schlüsselrichtlinie zu bearbeiten und die Anweisung zu entfernen, die IAM aktiviert.

Ohne diese Anweisung verlieren selbst Kontoadministratoren den Zugriff. Da die Schlüsselrichtlinie als Zugangskontrolle fungiert, können Sie sich vollständig aus dem Schlüssel aussperren. Lassen Sie daher immer einen administrativen Prinzipal auf Kontoebene in der Schlüsselrichtlinie, damit der Schlüssel nicht unwiederbringlich verloren geht.

Kombinieren Sie CloudTrail (jeder KMS-Aufruf mit Kontext) und IAM Access Analyzer (Schlüsselrichtlinien, die externen Zugriff gewähren), um zu prüfen, wer die einzelnen Schlüssel verwenden kann und tatsächlich verwendet.

Regelmäßige Überprüfungen erkennen zu weit gefasste Schlüsselrichtlinien, bevor sie zum Risiko werden.

Denken Sie über den KMS-Zugriff nach.

Sie haben gelernt, wie der KMS-Zugriff kontrolliert wird.

• Die Schlüsselrichtlinie ist die wichtigste Zugangskontrolle und muss IAM aktivieren, damit IAM verwendet werden kann.
• Grants ermöglichen eine vorübergehende, fein abgestufte Delegierung.
• Bedingungen wie ViaService und der Verschlüsselungskontext schränken den Geltungsbereich ein.