Comment puis-je autoriser tous les comptes d'une organisation AWS à utiliser une clé AWS KMS dans mon compte ?

Brève description

Vous pouvez utiliser la clé de condition globale aws:PrincipalOrgID avec l'élément Principal dans une politique basée sur les ressources avec AWS KMS. Vous pouvez spécifier l'ID de l'organisation dans l'élément Condition au lieu d'une liste de tous les ID de compte AWS d'une organisation.

Résolution

Utilisez la clé de contexte de condition globale aws:PrincipalOrgID pour créer une politique de clé AWS KMS afin de permettre à tous les comptes d'une organisation AWS d'effectuer des actions AWS KMS

**Important :**Il est recommandé d’accorder les autorisations de moindre privilège avec les politiques AWS Identity and Access Management (IAM).

Spécifiez votre identifiant d'organisation AWS dans l'élément Condition de la politique de l’instruction. Cette politique garantit que seuls les principaux membres des comptes de votre organisation peuvent accéder à la clé AWS KMS.

Pour obtenir l'identifiant de l'organisation, procédez comme suit :

1. Ouvrez la console AWS Organizations.
2. Choisissez Réglages.
3. Dans Détails de l'organisation, copiez l'ID de l'organisation.

{  "Sid": "Allow use of the KMS key for organization",
  "Effect": "Allow",
  "Principal": {
    "AWS": "*"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:ReEncrypt*",
    "kms:GetKeyPolicy"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:PrincipalOrgID": "o-xxxxxxxxxxx"
    }
  }
}

Cet énoncé de stratégie de clés AWS KMS autorise les identités des comptes AWS appartenant à l'organisation AWS et portant l'ID o-xxxxxxxxxxx à utiliser la clé KMS :

Remarque : La clé de contexte de condition globale aws:PrincipalOrgID ne peut pas être utilisée pour restreindre l'accès à un principal de service AWS. Les services AWS qui invoquent un appel d'API sont effectués à partir d'un compte AWS interne qui ne fait pas partie de l'organisation AWS.

Informations connexes

Comment prendre AWS Organizations en main ?

Comment puis-je supprimer un compte membre d'une organisation ?