create-grant

Описание

Добавляет разрешение (grant) к ключу KMS.

Разрешение — это инструмент политики, который позволяет принципалам Amazon Web Services использовать ключи KMS в криптографических операциях. Он также может разрешать им просматривать ключ KMS (DescribeKey), создавать и управлять разрешениями. При авторизации доступа к ключу KMS разрешения учитываются вместе с политиками ключа и политиками IAM. Разрешения часто используются для временных разрешений, поскольку вы можете создать их, использовать их разрешения и удалить их, не изменяя политики ключа или политики IAM.

Подробную информацию о разрешениях, включая терминологию разрешений, см. в разделе Разрешения в KMS в *руководстве разработчика службы управления ключами* (*Key Management Service Developer Guide*). Примеры работы с разрешениями на нескольких языках программирования см. в разделе Программирование разрешений.

Операция CreateGrant возвращает GrantToken и GrantId.

• При создании, приостановке или отмене разрешения может возникнуть кратковременная задержка, обычно менее пяти минут, пока разрешение не станет доступным во всей системе KMS. Это состояние известно как постепенная согласованность. После достижения постепенной согласованности, принципал-получатель может использовать разрешения в разрешении, не идентифицируя его. Однако для немедленного использования разрешений в разрешении воспользуйтесь GrantToken, которое возвращает CreateGrant. Подробнее см. в разделе Использование маркера разрешения в *руководстве разработчика службы управления ключами* (*Key Management Service Developer Guide*).
• Операция CreateGrant также возвращает GrantId. Вы можете использовать GrantId и идентификатор ключа для идентификации разрешения в операциях RetireGrant и RevokeGrant. Чтобы найти идентификатор разрешения, используйте операции ListGrants или ListRetirableGrants.

Ключ KMS, который вы используете для этой операции, должен быть в совместимом состоянии. Подробнее см. в разделе Состояния ключей KMS в *руководстве разработчика службы управления ключами* (*Key Management Service Developer Guide*).

• ListGrants
• ListRetirableGrants
• RetireGrant
• RevokeGrant

См. также: Документация API AWS

Синтаксис

  create-grant
--key-id <value>
--grantee-principal <value>
[--retiring-principal <value>]
--operations <value>
[--constraints <value>]
[--grant-tokens <value>]
[--name <value>]
[--dry-run | --no-dry-run]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--key-id (строка)

--grantee-principal (строка)

--retiring-principal (строка)

--operations (список)

Синтаксис:

"string" "string" ...

Where valid values are:
  Decrypt
  Encrypt
  GenerateDataKey
  GenerateDataKeyWithoutPlaintext
  ReEncryptFrom
  ReEncryptTo
  Sign
  Verify
  GetPublicKey
  CreateGrant
  RetireGrant
  DescribeKey
  GenerateDataKeyPair
  GenerateDataKeyPairWithoutPlaintext
  GenerateMac
  VerifyMac
  DeriveSharedSecret

--constraints (структура)

Сокращенный синтаксис:

EncryptionContextSubset={KeyName1=string,KeyName2=string},EncryptionContextEquals={KeyName1=string,KeyName2=string}

Синтаксис JSON:

{
  "EncryptionContextSubset": {"string": "string"
    ...},
  "EncryptionContextEquals": {"string": "string"
    ...}
}

--grant-tokens (список)

Синтаксис:

"string" "string" ...

--name (строка)

--dry-run | --no-dry-run (логическое значение)

--cli-input-json | --cli-input-yaml (строка) Читает аргументы из предоставленной JSON-строки. JSON-строка соответствует формату, предоставленному --generate-cli-skeleton. Если другие аргументы предоставлены в командной строке, эти значения переопределят значения, предоставленные в JSON. Невозможно передавать произвольные двоичные значения, используя значение, предоставленное в JSON, поскольку строка будет воспринята буквально. Это может не быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса API. Если предоставлено значение без значения или со значением input, выводит пример входного JSON, который можно использовать в качестве аргумента для --cli-input-json. Аналогично, если предоставлено yaml-input, он выведет пример входного YAML, который можно использовать с --cli-input-yaml. Если предоставлено значение output, он проверяет входные данные команды и возвращает пример выходного JSON для этой команды. Сгенерированный JSON-скелет не стабилен между версиями AWS CLI и не гарантирует обратной совместимости в сгенерированном JSON-скелете.

Общие параметры

--debug (boolean)

Включить отладку логирования.

--endpoint-url (string)

Переопределить URL по умолчанию команды заданным URL.

--no-verify-ssl (boolean)

По умолчанию AWS CLI использует SSL при общении с AWS-сервисами. Для каждого SSL-соединения AWS CLI будет проверять SSL-сертификаты. Этот параметр переопределяет поведение по умолчанию, проверяя SSL-сертификаты.

--no-paginate (boolean)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (string)

Стиль форматирования вывода команды.

• json
• text
• table
• yaml
• yaml-stream

--query (string)

Запрос JMESPath для фильтрации данных ответа.

--profile (string)

Использовать определённый профиль из файла аутентификации.

--region (string)

Регион для использования. Переопределяет настройки из конфигурации/среды.

--version (string)

Показать версию этого инструмента.

--color (string)

Включить/отключить цветной вывод.

• on
• off
• auto

--no-sign-request (boolean)

Не подписывать запросы. Кредиты не будут загружаться, если этот аргумент предоставлен.

--ca-bundle (string)

Файл с сертификатами CA для проверки SSL-сертификатов. Переопределяет настройки из конфигурации/среды.

--cli-read-timeout (int)

Максимальное время чтения сокета в секундах. Если значение равно 0, чтение сокета будет блокирующим и без таймаута. Значение по умолчанию 60 секунд.

--cli-connect-timeout (int)

Максимальное время подключения к сокету в секундах. Если значение равно 0, подключение к сокету будет блокирующим и без таймаута. Значение по умолчанию 60 секунд.

--cli-binary-format (string)

Стиль форматирования для двоичных блоков. По умолчанию используется формат base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как строка, закодированная в base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны быть переданы буквально. При предоставлении содержимого из файла, относящегося к двоичному блоку fileb:// всегда будет обрабатываться как двоичный и будет использовать содержимое файла напрямую независимо от настройки cli-binary-format. При использовании file:// содержимое файла должно быть должным образом отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (boolean)

Отключить пейджер CLI для вывода.

--cli-auto-prompt (boolean)

Автоматически запросить параметры ввода CLI.

--no-cli-auto-prompt (boolean)

Отключить автоматический запрос параметров ввода CLI.

Примеры

Для создания гранта

Следующий create-grant пример создаёт грант, разрешающий пользователю exampleUser использовать команду decrypt для примера ключа KMS 1234abcd-12ab-34cd-56ef-1234567890ab. Отзывающим субъектом является роль adminRole. Грант использует ограничение гранта EncryptionContextSubset, разрешая это разрешение только тогда, когда контекст шифрования в запросе decrypt включает пару ключ-значение "Department": "IT".

aws kms create-grant \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --grantee-principal arn:aws:iam::123456789012:user/exampleUser \
    --operations Decrypt \
    --constraints EncryptionContextSubset={Department=IT} \
    --retiring-principal arn:aws:iam::123456789012:role/adminRole

Вывод:

{
    "GrantId": "1a2b3c4d2f5e69f440bae30eaec9570bb1fb7358824f9ddfa1aa5a0dab1a59b2",
    "GrantToken": "<grant token here>"
}

Для получения подробной информации о гранте используйте команду list-grants.

Дополнительная информация доступна в разделе Граны в AWS KMS в Руководстве разработчика AWS Key Management Service.

Вывод

GrantToken -> (строка)

GrantId -> (строка)