¿Cómo puedo permitir que todas las cuentas de una organización de AWS usen una clave de AWS KMS en mi cuenta?

Breve descripción

La clave de condición global aws:PrincipalOrgID se puede utilizar con el elemento de Entidad principal en una política basada en recursos con AWS KMS. En lugar de enumerar todos los ID de cuenta de AWS de una organización, puede especificar el ID de la organización en el elemento de Condición.

Resolución

Cree una política de claves de AWS KMS para permitir que todas las cuentas de una organización de AWS realicen acciones de AWS KMS mediante la clave de contexto de condición global de AWS aws:PrincipalOrgID.

Importante: Se recomienda conceder permisos de privilegio mínimo con las políticas de Identity and Access Management (IAM) de AWS.

Especifique su ID de organización de AWS en el elemento de condición de la declaración para asegurarse de que solo las entidades principales de las cuentas de su organización puedan acceder a la clave de AWS KMS. Para obtener el ID de la organización, siga estos pasos:

1. Abra la consola de AWS Organizations.
2. Seleccione Configuración.
3. En Detalles de la organización, copie el ID de la organización.

La siguiente declaración de política de claves de AWS KMS permite que las identidades de cualquier cuenta de AWS que pertenezca a la organización de AWS con el ID o-xxxxxxxxxxx utilicen la clave de KMS:

{
  "Sid": "Allow use of the KMS key for organization",
  "Effect": "Allow",
  "Principal": {
    "AWS": "*"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:ReEncrypt*",
    "kms:GetKeyPolicy"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:PrincipalOrgID": "o-xxxxxxxxxxx"
    }
  }
}

Nota: La clave de contexto de condición global aws:PrincipalOrgID no se puede utilizar para restringir el acceso a una entidad principal de servicio de AWS. Los servicios de AWS que invocan una llamada a la API se crean desde una cuenta de AWS interna que no forma parte de la organización de AWS.

Información relacionada

¿Cómo puedo empezar a utilizar AWS Organizations?

¿Cómo elimino una cuenta de miembro de una factura consolidada de la organización en AWS Organizations?