Kebijakan Kunci, Hibah, dan Kondisi

Membuat kunci hanyalah separuh pekerjaan; mengendalikan siapa yang boleh menggunakannya adalah separuh lainnya. KMS menggunakan beberapa mekanisme akses yang diterapkan secara berlapis.

Mekanisme yang paling penting adalah kebijakan kunci, yaitu kebijakan berbasis sumber daya yang dilampirkan langsung ke kunci.

Setiap kunci KMS memiliki kebijakan kunci yang menjadi otoritas utama atas akses.

• Tidak seperti kebanyakan layanan, kunci KMS wajib memiliki kebijakan kunci.
• Jika kebijakan kunci tidak memberikan akses, kebijakan IAM saja tidak dapat memberikannya.

Dengan demikian, kebijakan kunci menjadi penjaga akses.

Akses ke kunci KMS mengharuskan kebijakan kunci mengaktifkan IAM, kemudian IAM dan kebijakan kunci bekerja secara bersama-sama.

Kebijakan kunci bawaan mencakup pernyataan yang memberikan akses kepada principal IAM akun tersebut sesuai dengan kebijakan IAM mereka. Tanpa pernyataan itu, hanya principal yang disebutkan secara langsung dalam kebijakan kunci yang dapat menggunakan kunci tersebut.

Pemberian akses adalah cara yang fleksibel dan sementara untuk mendelegasikan penggunaan kunci.

• Fitur ini mengizinkan operasi tertentu kepada principal, sering kali secara terprogram.
• Layanan AWS menggunakan pemberian akses untuk mengakses kunci atas nama Anda.

Pemberian akses dapat dinonaktifkan atau dicabut ketika tidak lagi diperlukan, sehingga ideal untuk pendelegasian berumur singkat.

Pilih berdasarkan masa berlaku dan tingkat perincian:

• Gunakan kebijakan kunci dan IAM untuk akses luas yang berlangsung lama.
• Gunakan pemberian akses untuk izin sementara yang terperinci, yang sering dibuat secara dinamis oleh layanan atau aplikasi.

Pemberian akses menghindarkan Anda dari penyuntingan kebijakan kunci untuk kebutuhan jangka pendek.

KMS mendukung kunci kondisi yang andal dalam kebijakan, seperti kms:ViaService.

ViaService membatasi penggunaan kunci pada permintaan yang datang melalui layanan AWS tertentu (misalnya hanya melalui S3), sehingga principal hanya dapat mendekripsi ketika S3 melakukan panggilan, bukan secara langsung.

Konteks enkripsi adalah sekumpulan pasangan kunci-nilai yang diteruskan bersama operasi enkripsi/dekripsi dan terikat secara kriptografis pada operasi tersebut.

• Konteks yang sama harus diberikan saat dekripsi.
• Konteks ini muncul di CloudTrail untuk keperluan audit.

Kebijakan dapat mewajibkan konteks tertentu dengan kondisi kms:EncryptionContext.

Untuk mengizinkan akun lain menggunakan kunci, kebijakan kunci harus mengizinkan akun eksternal tersebut, dan principal eksternal juga memerlukan izin IAM.

Ini adalah pola dua sisi yang sama seperti peran lintas akun: kebijakan sumber daya (dalam hal ini kebijakan kunci) dan kebijakan IAM milik pemanggil harus sama-sama mengizinkan tindakan tersebut.

Terapkan hak akses minimum pada kunci:

• Pisahkan administrator kunci (mengelola kunci) dari pengguna kunci (mengenkripsi/mendekripsi).
• Hindari kms:* untuk pengguna.
• Gunakan ViaService dan konteks enkripsi untuk mempersempit cakupan.

Hal ini membatasi dampak jika suatu principal disusupi.

Kesalahan umum adalah menyunting kebijakan kunci lalu menghapus pernyataan yang mengaktifkan IAM.

Tanpa pernyataan tersebut, bahkan administrator akun akan kehilangan akses. Karena kebijakan kunci merupakan penjaga akses, Anda dapat sepenuhnya terkunci dari kunci tersebut. Selalu pertahankan principal administratif tingkat akun dalam kebijakan kunci untuk menghindari kunci yang tidak dapat dipulihkan.

Gabungkan CloudTrail (setiap panggilan KMS beserta konteksnya) dan Penganalisis Akses IAM (kebijakan kunci yang memberikan akses eksternal) untuk mengaudit siapa yang dapat dan memang menggunakan setiap kunci.

Peninjauan rutin menemukan kebijakan kunci yang terlalu luas sebelum menjadi risiko.

Analisis akses KMS.

Anda telah mempelajari cara akses KMS dikendalikan.

• Kebijakan kunci adalah penjaga akses utama dan harus mengaktifkan IAM agar kunci dapat digunakan.
• Pemberian akses menyediakan pendelegasian sementara yang terperinci.
• Kondisi seperti ViaService dan konteks enkripsi mempersempit cakupan.