AWS KMS 服务主体账户隔离

Question

我有如下所示的 KMS 政策声明。

{
    "Sid": "Allow use of the key by SNS",
    "Effect": "Allow",
    "Principal": {
        "Service": "sns.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*"
}

这会使任何 AWS 账户的 SNS（或者，我提到的任何服务作为委托人）访问我的 KMS 密钥吗？ 我找不到任何明确的文档。

Answer 1

通过允许服务委托人对 KMS 密钥执行某些操作，您不允许直接访问 AWS 账户，而是允许访问内部 AWS 服务委托人（不属于特定 AWS 账户）。

例如，如果您将 CloudWatch 警报发布到 SNS 加密主题，则需要在 KMS 资源策略中包含如下语句：

{
  "Version": "2012-10-17",
  "Statement": [{
       "Effect": "Allow",
       "Principal": {
          "Service": "cloudwatch.amazonaws.com"
       },
       "Action": [
          "kms:GenerateDataKey",
          "kms:Decrypt"
       ],
       "Resource": "*"
   }]
}

但是，通过这样做，您在技术上允许从其他帐户访问您的 KMS 密钥，例如，如果其他帐户配置 CloudWatch 警报以发布到您的 SNS 主题（假设 SNS 主题也允许从 cloudwatch.amazonaws 发布消息.com 服务主体）。

这就是为什么强烈建议在定义密钥策略时添加条件密钥，以便仅允许从特定调用方账户甚至特定 AWS 资源 ARN 进行访问，并避免潜在的混淆代理场景：

当密钥策略语句中的委托人是 AWS 服务委托人时，除了 kms:EncryptionContext:context-key 条件键外，我们强烈建议您使用 aws:SourceArn 或 aws:SourceAccount 全局条件键。

引用自关键政策中 AWS 服务的权限。