Politiques de clés, octrois et conditions

Créer une clé ne représente que la moitié du travail : contrôler qui peut l’utiliser constitue l’autre moitié. KMS utilise plusieurs mécanismes d’accès combinés.

Le plus important est la politique de clé, une politique fondée sur la ressource et directement associée à la clé.

Chaque clé KMS possède une politique de clé qui constitue l’autorité principale en matière d’accès.

• Contrairement à la plupart des services, une clé KMS doit avoir une politique de clé.
• Si la politique de clé n’accorde pas l’accès, les politiques IAM ne peuvent pas l’accorder à elles seules.

La politique de clé joue donc le rôle de gardienne.

L’accès à une clé KMS exige que la politique de clé active IAM ; IAM et la politique de clé se combinent ensuite.

La politique de clé par défaut contient une déclaration qui accorde l’accès aux principaux IAM du compte sous réserve de leurs politiques IAM. Sans cette déclaration, seuls les principaux nommés directement dans la politique de clé peuvent utiliser la clé.

Une autorisation déléguée est un moyen souple et temporaire de déléguer l’utilisation d’une clé.

• Elle autorise certaines opérations pour un principal, souvent de manière programmatique.
• Les services AWS utilisent des autorisations déléguées pour accéder aux clés en votre nom.

Les autorisations déléguées peuvent être retirées ou révoquées lorsqu’elles ne sont plus nécessaires, ce qui est idéal pour une délégation de courte durée.

Choisissez selon la durée et le niveau de granularité :

• Utilisez la politique de clé et IAM pour un accès large et durable.
• Utilisez les autorisations déléguées pour des permissions temporaires et précises, souvent créées dynamiquement par des services ou des applications.

Les autorisations déléguées évitent de modifier la politique de clé pour les besoins à court terme.

KMS prend en charge de puissantes clés de condition dans les politiques, telles que kms:ViaService.

ViaService restreint l’utilisation de la clé aux requêtes provenant d’un service AWS spécifique (par exemple uniquement via S3) : un principal ne peut déchiffrer que lorsque S3 effectue l’appel, et non directement.

Le contexte de chiffrement est un ensemble de paires clé-valeur transmises avec le chiffrement ou le déchiffrement et liées cryptographiquement à l’opération.

• Le même contexte doit être fourni pour déchiffrer.
• Il apparaît dans CloudTrail à des fins d’audit.

Les politiques peuvent exiger un contexte spécifique avec la condition kms:EncryptionContext.

Pour permettre à un autre compte d’utiliser une clé, la politique de clé doit autoriser ce compte externe et le principal externe doit également disposer d’une permission IAM.

Il s’agit du même modèle à deux volets que pour les rôles entre comptes : la politique de ressource (ici, la politique de clé) et la politique IAM de l’appelant doivent toutes deux autoriser l’action.

Appliquez le principe du moindre privilège aux clés :

• Séparez les administrateurs de clés (qui gèrent la clé) des utilisateurs de clés (qui chiffrent et déchiffrent).
• Évitez kms:* pour les utilisateurs.
• Utilisez ViaService et le contexte de chiffrement pour restreindre davantage la portée.

Cela limite l’ampleur des dommages si un principal est compromis.

Une erreur classique consiste à modifier une politique de clé et à supprimer la déclaration qui active IAM.

Sans elle, même les administrateurs du compte perdent l’accès et, puisque la politique de clé joue le rôle de gardienne, vous pouvez vous retrouver complètement bloqué hors de la clé. Conservez toujours un principal administratif au niveau du compte dans la politique de clé afin d’éviter de rendre la clé irrécupérable.

Combinez CloudTrail (chaque appel KMS avec son contexte) et IAM Access Analyzer (les politiques de clé accordant un accès externe) pour vérifier qui peut utiliser chaque clé et qui l’utilise effectivement.

Un examen régulier permet de détecter les politiques de clé trop permissives avant qu’elles ne deviennent un risque.

Raisonnez sur l’accès à KMS.

Vous avez appris comment l’accès à KMS est contrôlé.

• La politique de clé est la principale gardienne et doit activer IAM pour permettre son utilisation.
• Les autorisations déléguées fournissent une délégation temporaire et précise.
• Les conditions telles que ViaService et le contexte de chiffrement restreignent davantage la portée.