Zasady kluczy, uprawnienia delegowane i warunki

Utworzenie klucza to tylko połowa zadania; druga połowa to kontrolowanie, kto może z niego korzystać. KMS wykorzystuje kilka współdziałających mechanizmów dostępu.

Najważniejszym z nich jest zasada klucza — zasada oparta na zasobach, dołączona bezpośrednio do klucza.

Każdy klucz KMS ma zasadę klucza, która jest głównym źródłem uprawnień dostępu.

• W przeciwieństwie do większości usług klucz KMS musi mieć zasadę klucza.
• Jeśli zasada klucza nie przyznaje dostępu, same zasady IAM nie mogą go przyznać.

Dlatego zasada klucza pełni funkcję strażnika dostępu.

Dostęp do klucza KMS wymaga, aby zasada klucza włączała IAM; dopiero wtedy zasady IAM i zasada klucza działają łącznie.

Domyślna zasada klucza zawiera instrukcję przyznającą podmiotom IAM należącym do konta dostęp z zastrzeżeniem ich zasad IAM. Bez tej instrukcji z klucza mogą korzystać tylko podmioty wymienione bezpośrednio w zasadzie klucza.

Grant to elastyczny i tymczasowy sposób delegowania korzystania z klucza.

• Umożliwia podmiotowi wykonywanie określonych operacji, często w sposób programistyczny.
• Usługi AWS używają grantów, aby uzyskiwać dostęp do kluczy w Państwa imieniu.

Granty można wycofać lub unieważnić, gdy nie są już potrzebne, dzięki czemu idealnie nadają się do krótkotrwałego delegowania uprawnień.

Wyboru należy dokonać na podstawie czasu obowiązywania i szczegółowości uprawnień:

• Zasady klucza i IAM służą do długotrwałego, szerokiego dostępu.
• Granty służą do szczegółowych, tymczasowych uprawnień, często tworzonych dynamicznie przez usługi lub aplikacje.

Granty pozwalają uniknąć edytowania zasady klucza w przypadku krótkoterminowych potrzeb.

KMS obsługuje w zasadach zaawansowane klucze warunków, takie jak kms:ViaService.

ViaService ogranicza użycie klucza do żądań pochodzących za pośrednictwem konkretnej usługi AWS (na przykład wyłącznie za pośrednictwem S3), dzięki czemu podmiot może odszyfrowywać dane tylko wtedy, gdy wywołanie wykonuje S3, a nie bezpośrednio.

Kontekst szyfrowania to zestaw par klucz-wartość przekazywanych podczas szyfrowania lub odszyfrowywania, kryptograficznie powiązanych z operacją.

• Podczas odszyfrowywania należy podać ten sam kontekst.
• Pojawia się on w CloudTrail na potrzeby audytu.

Zasady mogą wymagać określonego kontekstu za pomocą warunku kms:EncryptionContext.

Aby umożliwić innemu kontu korzystanie z klucza, zasada klucza musi zezwalać temu zewnętrznemu kontu, a zewnętrzny podmiot musi również mieć uprawnienia IAM.

Jest to ten sam dwustronny model co w przypadku ról między kontami: zarówno zasada zasobu (tutaj zasada klucza), jak i zasada IAM wywołującego muszą zezwalać na daną operację.

W przypadku kluczy należy stosować zasadę najmniejszych uprawnień:

• Należy rozdzielić administratorów kluczy (zarządzających kluczem) od użytkowników kluczy (szyfrujących i odszyfrowujących dane).
• Należy unikać używania kms:* w przypadku użytkowników.
• W celu zawężenia zakresu należy używać ViaService i kontekstu szyfrowania.

Ogranicza to zasięg skutków przejęcia podmiotu.

Klasycznym błędem jest edytowanie zasady klucza i usunięcie instrukcji włączającej IAM.

Bez niej dostęp tracą nawet administratorzy konta, a ponieważ zasada klucza pełni funkcję strażnika, można całkowicie zablokować sobie dostęp do klucza. Aby uniknąć klucza, którego nie da się odzyskać, należy zawsze pozostawić w zasadzie klucza podmiot administracyjny na poziomie konta.

Połączenie CloudTrail (każde wywołanie KMS wraz z kontekstem) i IAM Access Analyzer (zasady kluczy przyznające dostęp zewnętrzny) umożliwia przeprowadzenie audytu tego, kto może korzystać z każdego klucza i kto faktycznie z niego korzysta.

Regularne przeglądy pozwalają wykryć zbyt szerokie zasady kluczy, zanim staną się zagrożeniem.

Proszę przeanalizować dostęp do KMS.

Dowiedzieli się Państwo, jak kontrolowany jest dostęp do KMS.

• Zasada klucza jest głównym strażnikiem dostępu i musi włączać IAM, aby można było z niego korzystać.
• Granty zapewniają tymczasowe, szczegółowe delegowanie uprawnień.
• Warunki, takie jak ViaService i kontekst szyfrowania, zawężają zakres dostępu.