授予对另一个账户使用 AWS KMS 密钥的权限

Question

我使用 KMS 客户端 (PHP) 创建了 KMS 密钥。

    `new KmsClient([
        'credentials' => [
            'key' => $awsKey,
            'secret' => $awsSecret,
        ],
        'version' => 'latest',
        'region' => 'us-east-1',
    ]);`

现在我想与其他一些用户共享此密钥。 我有他们的帐户 ID，

我该怎么做，通过使用 RDS api？

什么都不管用。 我也无法在 GitHub 示例中找到任何示例。

Answer 1

您需要创建一个策略来授予另一个帐户访问它的权限。 在这里查看更多详细信息。 444455556666是其他帐户的 ID。

{
    "Sid": "Allow an external account to use this KMS key",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::444455556666:root"
        ]
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}