Ações, recursos e chaves de condição do AWS Key Management Service
O AWS Key Management Service (prefixo de serviço: kms) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso nas políticas de permissão do IAM.
Referências:
-
Saiba como configurar este serviço.
-
Visualize uma lista das operações de API disponíveis para este serviço.
-
Saiba como proteger este serviço e seus recursos usando políticas de permissão do IAM.
Tópicos
Ações definidas pelo AWS Key Management Service
Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.
A coluna Nível de acesso da tabela Ações descreve como a ação é classificada (lista, leitura, gravação, gerenciamento de permissões ou marcação). Esta classificação pode ajudar você a compreender o nível de acesso que uma ação concede quando a usa em uma política. Para obter mais informações sobre níveis de acesso, consulte Níveis de acesso em resumos de políticas.
A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.
A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.
A coluna Ações dependentes da tabela Ações mostra permissões adicionais que podem ser necessárias para chamar uma ação com êxito. Essas permissões podem ser necessárias além da permissão para a ação em si. Quando uma ação especifica ações dependentes, essas dependências podem se aplicar a recursos adicionais definidos para essa ação, não somente ao primeiro recurso listado na tabela.
nota
As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.
Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.
Tipos de recursos definidos pelo AWS Key Management Service
Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.
Chaves de condição do AWS Key Management Service
O AWS Key Management Service define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.
Para exibir as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de contexto de condição globais da AWS.
| Chaves de condição | Descrição | Tipo |
|---|---|---|
| aws:RequestTag/${TagKey} | Filtra o acesso a operações especificadas do AWS KMS com base na chave e no valor da etiqueta na solicitação | String |
| aws:ResourceTag/${TagKey} | Filtra o acesso às operações especificadas do AWS KMS com base em etiquetas atribuídas à chave do AWS KMS | String |
| aws:TagKeys | Filtra o acesso a operações especificadas do AWS KMS com base em chaves de etiqueta na solicitação | ArrayOfString |
| kms:BypassPolicyLockoutSafetyCheck | Filtra o acesso às operações CreateKey e PutKeyPolicy com base no valor do parâmetro BypassPolicyLockoutSafetyCheck na solicitação | Bool |
| kms:CallerAccount | Filtra o acesso às operações especificadas do AWS KMS com base no ID da Conta da AWS do chamador. Você pode usar essa chave de condição para permitir ou negar acesso a todos os usuários e funções do IAM em uma Conta da AWS em uma única instrução de política | String |
| kms:CustomerMasterKeySpec | A chave de condição kms:CustomerMasterKeySpec está defasada. Em vez disso, use a chave de condição kms:KeySpec | String |
| kms:CustomerMasterKeyUsage | A chave de condição kms:CustomerMasterKeyUsage está defasada. Em vez disso, use a chave de condição kms:KeyUsage | String |
| kms:DataKeyPairSpec | Filtra o acesso às operações GenerateDataKeyPair e GenerateDataKeyPairWithoutPlaintext com base no valor do parâmetro KeyPairSpec da solicitação. | String |
| kms:EncryptionAlgorithm | Filtra o acesso às operações de criptografia com base no valor do algoritmo de criptografia na solicitação | String |
| kms:EncryptionContext:${EncryptionContextKey} | Filtra o acesso a uma chave do AWS KMS simétrica com base no contexto de criptografia em uma operação de criptografia. Essa condição avalia a chave e o valor em cada par de contexto de criptografia de chave-valor | String |
| kms:EncryptionContextKeys | Filtra o acesso a uma chave do AWS KMS simétrica com base no contexto de criptografia em uma operação de criptografia. Essa chave de condição avalia somente a chave em cada par de contexto de criptografia de chave-valor | ArrayOfString |
| kms:ExpirationModel | Filtra o acesso à operação ImportKeyMaterial com base no valor do parâmetro ExpirationModel na solicitação | String |
| kms:GrantConstraintType | Filtra o acesso à operação CreateGrant com base na restrição de concessão na solicitação | String |
| kms:GrantIsForAWSResource | Filtra o acesso à operação CreateGrant quando a solicitação vem de um produto da AWS especificado | Bool |
| kms:GrantOperations | Filtra o acesso à operação CreateGrant com base nas operações da concessão | ArrayOfString |
| kms:GranteePrincipal | Filtra o acesso à operação CreateGrant com base no principal do beneficiário na concessão | String |
| kms:KeyAgreementAlgorithm | Filtra o acesso à operação DeriveSharedSecret com base no valor do parâmetro KeyAgreementAlgorithm na solicitação | String |
| kms:KeyOrigin | Filtra o acesso a uma operação de API com base na propriedade Origin da chave do AWS KMS criada ou usada na operação. Use para qualificar a autorização da operação CreateKey ou de qualquer operação autorizada para uma chave KMS | String |
| kms:KeySpec | Filtra o acesso a uma operação de API com base na propriedade KeySpec da chave do AWS KMS criada ou usada na operação. Use para qualificar a autorização da operação CreateKey ou de qualquer operação autorizada para um recurso da chave KMS | String |
| kms:KeyUsage | Filtra o acesso a uma operação de API com base na propriedade de KeyUsage da chave do AWS KMS criada ou usada na operação. Use para qualificar a autorização da operação CreateKey ou de qualquer operação autorizada para um recurso da chave KMS | String |
| kms:MacAlgorithm | Filtra o acesso às operações GenerateMac e VerifyMac com base no parâmetro MacAlgorithm da solicitação | String |
| kms:MessageType | Filtra o acesso às operações Sign and Verify com base no valor do parâmetro MessageType na solicitação | String |
| kms:MultiRegion | Filtra o acesso a uma operação de API com base na propriedade MultiRegion da chave do AWS KMS criada ou usada na operação. Use para qualificar a autorização da operação CreateKey ou de qualquer operação autorizada para um recurso da chave KMS | Bool |
| kms:MultiRegionKeyType | Filtra o acesso a uma operação de API com base na propriedade MultiRegionKeyType da chave do AWS KMS criada ou usada na operação. Use para qualificar a autorização da operação CreateKey ou de qualquer operação autorizada para um recurso da chave KMS | String |
| kms:PrimaryRegion | Filtra o acesso à operação UpdatePrimaryRegion com base no valor do parâmetro PrimaryRegion na solicitação | String |
| kms:ReEncryptOnSameKey | Filtra o acesso à operação ReEncrypt quando usa a mesma chave do AWS KMS usada para a operação Encrypt | Bool |
| kms:RecipientAttestation:ImageSha384 | Filtra o acesso às operações de API com base no hash de imagem do documento de atestado da solicitação | String |
| kms:RecipientAttestation:NitroTPMPCR0 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 0 no documento de atestado na solicitação. PCR0 é uma medida contígua do código executável do firmware do sistema central | String |
| kms:RecipientAttestation:NitroTPMPCR1 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 1 no documento de atestado na solicitação. O PCR1 é uma medida contígua da configuração da plataforma de host/dados do firmware do sistema central, geralmente incluindo números de série e de modelo | String |
| kms:RecipientAttestation:NitroTPMPCR10 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 10 no documento de atestado na solicitação. O PCR10 é uma medida contígua de proteção do log de medição IMA | String |
| kms:RecipientAttestation:NitroTPMPCR11 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 11 no documento de atestado na solicitação. O PCR11 é uma medida contígua de todos os componentes das imagens unificadas do kernel (UKIs) | String |
| kms:RecipientAttestation:NitroTPMPCR12 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 12 no documento de atestado na solicitação. O PCR12 é uma medida contígua da linha de comando do kernel, das credenciais do sistema e das imagens de configuração do sistema | String |
| kms:RecipientAttestation:NitroTPMPCR13 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 13 no documento de atestado na solicitação. O PCR13 é uma medida contígua de todas as imagens de extensão do sistema para o initrd | String |
| kms:RecipientAttestation:NitroTPMPCR14 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 14 no documento de atestado na solicitação. O PCR14 é uma medida contígua de certificados e hashes “MOK” | String |
| kms:RecipientAttestation:NitroTPMPCR15 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 15 no documento de atestado na solicitação. O PCR15 é uma medida contígua da chave de criptografia do volume do sistema de arquivos raiz | String |
| kms:RecipientAttestation:NitroTPMPCR16 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 16 no documento de atestado na solicitação. O PCR16 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR17 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 17 no documento de atestado na solicitação. O PCR17 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR18 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 18 no documento de atestado na solicitação. O PCR18 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR19 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 19 no documento de atestado na solicitação. O PCR19 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR2 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 2 no documento de atestado na solicitação. O PCR2 é uma medida contígua de código executável estendido ou conectável, incluindo ROMs opcionais em hardware conectável | String |
| kms:RecipientAttestation:NitroTPMPCR20 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 20 no documento de atestado na solicitação. O PCR20 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR21 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 21 no documento de atestado na solicitação. O PCR21 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR22 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 22 no documento de atestado na solicitação. O PCR22 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR23 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 23 no documento de atestado na solicitação. O PCR23 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR3 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 3 no documento de atestado na solicitação. O PCR3 é uma medida contígua de dados de firmware estendidos ou conectáveis, incluindo informações sobre hardware conectável | String |
| kms:RecipientAttestation:NitroTPMPCR4 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 4 no documento de atestado na solicitação. O PCR4 é uma medida contígua do carregador de inicialização e drivers adicionais, incluindo binários e extensões carregados pelo carregador de inicialização | String |
| kms:RecipientAttestation:NitroTPMPCR5 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 5 no documento de atestado na solicitação. O PCR5 é uma medida contígua da tabela GPT/partição | String |
| kms:RecipientAttestation:NitroTPMPCR6 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 6 no documento de atestado na solicitação. O PCR6 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:NitroTPMPCR7 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 7 no documento de atestado na solicitação. O PCR7 é uma medida contígua do estado SecureBoot | String |
| kms:RecipientAttestation:NitroTPMPCR8 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 8 no documento de atestado na solicitação. O PCR8 é uma medida contígua de comandos e linha de comando do kernel | String |
| kms:RecipientAttestation:NitroTPMPCR9 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 9 no documento de atestado na solicitação. O PCR9 é uma medida contígua de todos os arquivos lidos (incluindo a imagem do kernel) | String |
| kms:RecipientAttestation:PCR0 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 0 no documento de atestado na solicitação. O PCR0 é uma medida contígua do conteúdo do arquivo de imagem do enclave, sem os dados da seção | String |
| kms:RecipientAttestation:PCR1 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 1 no documento de atestado na solicitação. O PCR1 é uma medida contígua do kernel Linux e dos dados de bootstrap | String |
| kms:RecipientAttestation:PCR10 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 10 no documento de atestado na solicitação. O PCR10 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR11 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 11 no documento de atestado na solicitação. O PCR11 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR12 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 12 no documento de atestado na solicitação. O PCR12 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR13 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 13 no documento de atestado na solicitação. O PCR13 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR14 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 14 no documento de atestado na solicitação. O PCR14 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR15 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 15 no documento de atestado na solicitação. O PCR15 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR16 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 16 no documento de atestado na solicitação. O PCR16 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR17 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 17 no documento de atestado na solicitação. O PCR17 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR18 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 18 no documento de atestado na solicitação. O PCR18 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR19 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 19 no documento de atestado na solicitação. O PCR19 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR2 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 2 no documento de atestado na solicitação. O PCR2 é uma medida contígua e ordenada das aplicações do usuário, sem as ramfs de inicialização | String |
| kms:RecipientAttestation:PCR20 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 20 no documento de atestado na solicitação. O PCR20 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR21 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 21 no documento de atestado na solicitação. O PCR21 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR22 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 22 no documento de atestado na solicitação. O PCR22 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR23 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 23 no documento de atestado na solicitação. O PCR23 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR24 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 24 no documento de atestado na solicitação. O PCR24 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR25 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 25 no documento de atestado na solicitação. O PCR25 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR26 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 26 no documento de atestado na solicitação. O PCR26 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR27 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 27 no documento de atestado na solicitação. O PCR27 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR28 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 28 no documento de atestado na solicitação. O PCR28 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR29 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 29 no documento de atestado na solicitação. O PCR29 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR3 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 3 no documento de atestado na solicitação. O PCR3 é uma medida contígua do perfil do IAM atribuído à instância principal | String |
| kms:RecipientAttestation:PCR30 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 30 no documento de atestado na solicitação. O PCR30 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR31 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 31 no documento de atestado na solicitação. O PCR31 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR4 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 4 no documento de atestado na solicitação. O PCR4 é uma medida contígua do ID da instância principal | String |
| kms:RecipientAttestation:PCR5 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 5 no documento de atestado na solicitação. O PCR5 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR6 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 6 no documento de atestado na solicitação. O PCR6 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR7 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 7 no documento de atestado na solicitação. O PCR7 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:RecipientAttestation:PCR8 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 8 no documento de atestado na solicitação. O PCR8 é uma medida do certificado de assinatura especificado para o arquivo de imagem do enclave | String |
| kms:RecipientAttestation:PCR9 | Filtra o acesso pelo registro de configuração da plataforma (PCR) 9 no documento de atestado na solicitação. O PCR9 é um PCR personalizado que pode ser definido pelo usuário para casos de uso específicos | String |
| kms:ReplicaRegion | Filtra o acesso à operação ReplicateKey com base no valor do parâmetro ReplicaRegion na solicitação | String |
| kms:RequestAlias | Filtra o acesso a operações criptográficas, DescribeKey e GetPublicKey com base no alias na solicitação | String |
| kms:ResourceAliases | Filtra o acesso às operações do AWS KMS especificadas com base em aliases associados à chave do AWS KMS | ArrayOfString |
| kms:RetiringPrincipal | Filtra o acesso à operação CreateGrant com base no principal de retirada na concessão | String |
| kms:RotationPeriodInDays | Filtra o acesso à operação EnableKeyRotation com base no valor do parâmetro RotationPeriodInDays na solicitação | Numérico |
| kms:ScheduleKeyDeletionPendingWindowInDays | Filtra o acesso à operação ScheduleKeyDeletion com base no valor do parâmetro PendingWindowInDays na solicitação | Numérico |
| kms:SigningAlgorithm | Filtra o acesso às operações Sign and Verify com base no algoritmo de assinatura na solicitação | String |
| kms:ValidTo | Filtra o acesso à operação ImportKeyMaterial com base no valor do parâmetro ValidTo na solicitação. Você pode usar essa chave de condição para permitir que os usuários importem material de chave somente quando expirar até a data especificada | Data |
| kms:ViaService | Filtra o acesso quando uma solicitação feita em nome do principal vem de um serviço da AWSespecificado | String |
| kms:WrappingAlgorithm | Filtra o acesso à operação GetParametersForImport com base no valor do parâmetro WrappingAlgorithm na solicitação | String |
| kms:WrappingKeySpec | Filtra o acesso à operação GetParametersForImport com base no valor do parâmetro WrappingKeySpec na solicitação | String |
