Como posso permitir que todas as contas em uma Organização da AWS usem uma chave do AWS KMS em minha conta?

Breve descrição

A chave de condição global aws:PrincipalOrgID pode ser usada com o elemento Principal em uma política baseada em recursos com o AWS KMS. Em vez de listar todas as IDs de conta da AWS em uma Organização, você pode especificar a ID da organização no elemento Condição.

Resolução

Crie uma política de chave do AWS KMS para permitir que todas as contas em uma Organização da AWS realizem ações do AWS KMS usando a chave de contexto de condição global da AWS aws:PrincipalOrgID.

Importante: É uma prática recomendada conceder permissões de privilégio mínimo com as políticas do AWS Identity and Access Management (IAM).

Especifique sua ID de Organização da AWS no elemento de condição da declaração para garantir que somente as entidades principais das contas em sua Organização possam acessar a chave do AWS KMS. Para obter a ID da Organização, siga estas etapas:

1. Abra o console do AWS Organizations.
2. Escolha Settings (Configurações).
3. Em Organization details (Detalhes da organização), copie a ID da organização.

A seguinte declaração de política de chave do AWS KMS permite que as identidades de qualquer conta da AWS pertencente à organização da AWS com ID o-xxxxxxxxxxx usem a chave do KMS:

{
  "Sid": "Allow use of the KMS key for organization",
  "Effect": "Allow",
  "Principal": {
    "AWS": "*"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:ReEncrypt*",
    "kms:GetKeyPolicy"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:PrincipalOrgID": "o-xxxxxxxxxxx"
    }
  }
}

Observação: A chave de contexto de condição global aws:PrincipalOrgID não pode ser usada para restringir o acesso a uma entidade principal da AWS. Os serviços da AWS que invocam uma chamada da API são feitos a partir de uma conta interna da AWS que não faz parte da Organização da AWS.

Informações relacionadas

Como faço para começar a usar o AWS Organizations?

Como faço para remover uma conta de membro da fatura consolidada de uma organização no AWS Organizations?