Wie kann ich allen Konten in einer AWS-Organisation gestatten, einen AWS KMS-Schlüssel in meinem Konto zu verwenden?

Kurzbeschreibung

Der globale Bedingungsschlüssel aws:PrincipalOrgID kann zusammen mit dem Principal-Element in einer ressourcenbasierten Richtlinie mit AWS KMS verwendet werden. Anstatt alle AWS-Konto-IDs in einer Organisation aufzulisten, können Sie die Organisations-ID im Element Bedingung angeben.

Lösung

Erstellen Sie eine AWS KMS-Schlüsselrichtlinie, die es allen Konten in einer AWS-Organisation ermöglicht, AWS KMS-Aktionen mithilfe des globalen Bedingungskontextschlüssels aws:principalOrgID durchzuführen.

Wichtig: Es ist eine bewährte Methode, mithilfe der Richtlinien von AWS Identity and Access Management (IAM) die geringsten Rechte zu gewähren.

Geben Sie Ihre AWS-Organisations-ID im Bedingungselement der Abrechnung an, um sicherzustellen, dass nur die Principals der Konten in Ihrer Organisation auf den AWS KMS-Schlüssel zugreifen können. Gehen Sie folgendermaßen vor, um die Organisations-ID zu erhalten:

1. Öffnen Sie die AWS Organizations-Konsole.
2. Wählen Sie Einstellungen.
3. Kopieren Sie in den Organisationsdetails die Organisations-ID.

Die folgende grundlegende Richtlinie für AWS KMS ermöglicht es den Identitäten aller AWS-Konten, die der AWS-Organisation mit der ID o-xxxxxxxxxxx gehören, den KMS-Schlüssel zu verwenden:

{
  "Sid": "Allow use of the KMS key for organization",
  "Effect": "Allow",
  "Principal": {
    "AWS": "*"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:ReEncrypt*",
    "kms:GetKeyPolicy"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:PrincipalOrgID": "o-xxxxxxxxxxx"
    }
  }
}

Hinweis: Der globale Bedingungskontextschlüssel aws:PrincipalOrgID kann nicht verwendet werden, um den Zugriff auf einen AWS-Service-Principal einzuschränken. AWS-Services, die einen API-Aufruf aufrufen, werden von einem internen AWS-Konto aus ausgeführt, das nicht Teil der AWS-Organisation ist.

Ähnliche Informationen

Wie fange ich mit AWS Organizations an?

Wie entferne ich ein Mitgliedskonto aus der konsolidierten Rechnung einer Organisation in AWS Organizations?