Политики ключей, разрешения и условия

Создание ключа — это только половина задачи; управление тем, кто может его использовать, — вторая половина. KMS использует несколько взаимосвязанных механизмов доступа.

Самый важный из них — политика ключа, политика на основе ресурса, непосредственно прикреплённая к ключу.

У каждого ключа KMS есть политика ключа, которая является главным источником полномочий для управления доступом.

• В отличие от большинства сервисов, ключ KMS обязательно должен иметь политику ключа.
• Если политика ключа не предоставляет доступ, одних политик IAM недостаточно.

Поэтому политика ключа выступает в роли привратника.

Для доступа к ключу KMS политика ключа должна разрешать IAM, после чего применяются вместе IAM и политика ключа.

Политика ключа по умолчанию содержит утверждение, предоставляющее субъектам IAM этой учётной записи доступ в соответствии с их политиками IAM. Без этого утверждения ключ могут использовать только субъекты, непосредственно указанные в политике ключа.

Предоставление — это гибкий временный способ делегировать использование ключа.

• Оно разрешает субъекту выполнять определённые операции, часто программным способом.
• Сервисы AWS используют предоставления для доступа к ключам от Вашего имени.

Предоставления можно отменить или отозвать, когда они больше не нужны; это особенно удобно для краткосрочного делегирования.

Выбирайте вариант с учётом срока действия и степени детализации:

• Используйте политику ключа и IAM для постоянного широкого доступа.
• Используйте предоставления для детализированных временных разрешений, которые сервисы или приложения часто создают динамически.

Предоставления позволяют не изменять политику ключа для краткосрочных задач.

KMS поддерживает мощные ключи условий в политиках, например kms:ViaService.

ViaService ограничивает использование ключа запросами, поступающими через определённый сервис AWS (например, только через S3), поэтому субъект может расшифровать данные только при вызове со стороны S3, а не напрямую.

Контекст шифрования — это набор пар «ключ—значение», передаваемых вместе с операцией шифрования или расшифровки и криптографически связанных с этой операцией.

• Для расшифровки необходимо передать тот же контекст.
• Он отображается в CloudTrail для аудита.

Политики могут требовать определённый контекст с помощью условия kms:EncryptionContext.

Чтобы разрешить другой учётной записи использовать ключ, политика ключа должна разрешать доступ этой внешней учётной записи, а внешнему субъекту также требуется разрешение IAM.

Это тот же двусторонний принцип, что и для ролей между учётными записями: политика ресурса (в данном случае политика ключа) и политика IAM вызывающей стороны должны обе разрешать действие.

Применяйте принцип минимальных привилегий к ключам:

• Разделяйте администраторов ключей (управляют ключом) и пользователей ключей (шифруют и расшифровывают данные).
• Не используйте kms:* для пользователей.
• Используйте ViaService и контекст шифрования, чтобы сузить область действия.

Это уменьшает масштаб последствий при компрометации субъекта.

Классическая ошибка — изменить политику ключа и удалить утверждение, разрешающее IAM.

Без него даже администраторы учётной записи теряют доступ, а поскольку политика ключа является привратником, Вы можете полностью заблокировать себе доступ к ключу. Чтобы ключ можно было восстановить, всегда оставляйте в политике ключа административного субъекта на уровне учётной записи.

Объединяйте CloudTrail (каждый вызов KMS с контекстом) и IAM Access Analyzer (политики ключей, предоставляющие внешний доступ), чтобы проверять, кто может использовать каждый ключ и кто действительно его использует.

Регулярная проверка помогает обнаружить слишком широкие политики ключей до того, как они станут угрозой.

Проанализируйте доступ к KMS.

Вы узнали, как управляется доступ к KMS.

• Политика ключа — главный привратник; она должна разрешать IAM использовать ключ.
• Предоставления обеспечивают временное детализированное делегирование.
• Условия, такие как ViaService и контекст шифрования, сужают область действия.