授予另一个账户使用 AWS KMS 密钥的权限

【问题标题】：Give persmission to use AWS KMS key to another account授予另一个账户使用 AWS KMS 密钥的权限
【发布时间】：2023-01-27 20:23:15
【问题描述】：

我使用 KMS 客户端 (PHP) 创建了 KMS 密钥。

    `new KmsClient([
        'credentials' => [
            'key' => $awsKey,
            'secret' => $awsSecret,
        ],
        'version' => 'latest',
        'region' => 'us-east-1',
    ]);`

现在我想与其他一些用户共享此密钥。我有他们的帐户 ID，

我该怎么做，通过使用 RDS api？

什么都不管用。我也无法在 GitHub 示例中找到任何示例。

【问题讨论】：

标签： php amazon-web-services amazon-kms

【解决方案1】：

您需要创建一个策略来授予另一个帐户访问它的权限。查看here了解更多详情。 444455556666 是其他账号的id。

{
    "Sid": "Allow an external account to use this KMS key",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::444455556666:root"
        ]
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}

【讨论】：