密钥管理服务：条件键

密钥相关的条件键

kms:tag

kms:EncryptionAlgorithm

例如，如下示例表示仅允许RAM用户key_ramuser1，使用RSAES_OAEP_SHA_256算法执行加密、解密或转加密操作。可以提高加密密钥使用的安全性和合规性，确保只使用指定的加密算法，防止不合规或不安全的加密算法被误用。

{
  "Sid": "Allow only one encryption algorithm with this asymmetric KMS key",
  "Effect": "Deny",
  "Principal": {
          "RAM": [
                    "acs:ram::119285303511****:user/key_ramuser1"
                ]
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt"
  ],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "kms:EncryptionAlgorithm": "SYMMETRIC_DEFAULT"
    }
  }
}

kms:EncryptionContext:${EncryptionContextKey}

例如，如下示例表示允许阿里云账号119285303511****下的所有RAM用户，当加密上下文kms:EncryptionContext中的Project值为ProjectA时，执行生成数据密钥操作（kms:GenerateDataKey）。

{
 "Effect": "Allow",
 "Principal": {
	 "RAM": [
	 "acs:ram::119285303511****:*"
	 ]
	},
 "Action": "kms:GenerateDataKey",
 "Resource": "*",
 "Condition": {
 "StringEquals": {
 "kms:EncryptionContext:Project": "ProjectA"
 }
 }
}

kms:EncryptionContextKeys

例如，如下示例表示允许阿里云账号119285303511****下的所有RAM用户在加密上下文（EncryptionContext）中包含键名为Project时，执行数据密钥生成操作（kms:GenerateDataKey）。

{
 "Effect": "Allow",
 "Principal": {
	 "RAM": [
	 "acs:ram::119285303511****:*"
	 ]
	},
 "Action": "kms:GenerateDataKey",
 "Resource": "*",
 "Condition": {
 "StringEquals": {
 "kms:EncryptionContextKeys": "Project"
 }
 }
}

kms:ExpirationModel

例如，如下示例表示仅支持密钥材料的过期模型为KEY_MATERIAL_DOES_NOT_EXPIRE的情况下，才允许阿里云账号119285303511****下的所有RAM用户执行kms:ImportKeyMaterial操作（导入密钥材料）。

{
  "Effect": "Allow",
  "Principal": {
    "RAM": "acs:ram::119285303511****:*"
  },
  "Action": "kms:ImportKeyMaterial",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ExpirationModel": "KEY_MATERIAL_DOES_NOT_EXPIRE"
    }
  }
}

kms:ValidTo

例如，如下示例表示仅在2024年6月20日之前，允许阿里云账号 119285303511**** 下的所有 RAM 用户导入密钥材料。

{
  "Effect": "Allow",
  "Principal": {
    "RAM": "acs:ram::119285303511****:*"
  },
  "Action": "kms:ImportKeyMaterial",
  "Resource": "*",
  "Condition": {
    "NumericLessThanEquals": {
      "kms:ValidTo": "1718841600"
    }
  }
}

kms:KeyOrigin

kms:KeySpec

例如，如下示例表示允许阿里云账号119285303511****下的所有RAM用户和RAM角色执行创建密钥操作（kms:CreateKey），但仅限于创建RSA密钥。

{
  "Effect": "Allow",
  "Action": "kms:CreateKey",
  "Principal": {
    "RAM": "acs:ram::119285303511****:*"
  },
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:KeySpec": "RSA_*"
    }
  }
}

kms:KeyUsage

例如，如下示例表示允许执行创建密钥操作（kms:CreateKey），但仅限于创建用途为 ENCRYPT_DECRYPT 的密钥。

{
  "Effect": "Allow",
  "Action": "kms:CreateKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:KeyUsage": "ENCRYPT_DECRYPT"
    }
  }
}

kms:ScheduleKeyDeletionPendingWindowInDays

例如，如下示例表示当预删除周期小于或等于21天时，拒绝所有用户和角色执行密钥计划删除操作（kms:ScheduleKeyDeletion）。

{
  "Effect": "Deny",
  "Action": "kms:ScheduleKeyDeletion",
  "Principal": "*",
  "Resource": "*",
  "Condition": {
    "NumericLessThanEquals": {
      "kms:ScheduleKeyDeletionPendingWindowInDays": "21"
    }
  }
}

kms:SigningAlgorithm

kms:WrappingAlgorithm

kms:WrappingKeySpec

凭据相关的条件键

kms:SecretName

kms:EncryptionKeyId

kms:SecretVersionId

kms:SecretVersionStage

kms:SecretType

kms:ForceDeleteWithoutRecovery

kms:RecoveryWindowInDays

例如，如下示例表示当设置的恢复窗口期小于或等于10天时，拒绝所有用户和角色执行 kms:DeleteSecret 操作。

{
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "kms:DeleteSecret",
      "Principal": "*",
      "Resource": "*",
      "Condition": {
        "NumericLessThanEquals": {
          "kms:RecoveryWindowInDays": "10"
        }
      }
    }
  ]
}

其他

kms:TlsVersion

例如，如下示例表示当请求中TLS版本小于1.2时，拒绝对指定的密钥进行任何操作。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "kms:*",
            "Resource": "acs:kms:*:*:key/key-hzz653f1f8fybn5qa****",
            "Condition": {
                "NumericLessThan": {
                    "kms:TlsVersion": [
                        "1.2"
                    ]
                }
            }
        }
    ]
}