管理对 KMS 密钥的访问以仅使用 lambda

Question

我有一个用例，其中 kms 密钥用于加密和解密数据。如何确保只有特定的 lambda 才能使用 AWS 策略中的 kms 密钥。

我在创建时尝试在 kms 密钥策略中添加 Lambda ARN，但似乎不允许这样做。

如何实现我的用例？

Answer 1

步骤如下：

1. 为 Lambda 创建一个不附加任何权限的 IAM 角色。

2. 在创建密钥时为 Define key usage permissions 选择相同的值。

3. 将 IAM 角色附加到 Lambda。

4. 开始在 Lambda 中使用 KMS 密钥。

根据 AWS KMS documentation

控制台为对称 CMK 创建的默认密钥策略允许您选择账户中的 IAM 用户和角色以及外部 AWS 账户，并将其设为密钥用户。