AWS KMS中IAM用户创建非对称密钥权限问题求助

问题分析 #

你尝试使用IAM用户创建KMS非对称密钥，先后附加了AWSKeyManagementServicePowerUser权限及多份自定义策略，但均收到权限拒绝提示。从你提供的策略来看，已包含kms:CreateKey等核心权限，问题大概率来自以下几个方面：

排查与解决步骤 #

1. 检查显式拒绝类限制

   • 确认该IAM用户未被附加任何带Deny效果的策略（包括IAM组策略、用户直接附加策略）。
   • 检查用户是否设置了权限边界（Permission Boundary），权限边界会限制用户可执行的最高权限，若边界未允许KMS相关操作，即使IAM策略授权也会失效。

2. 验证AWS Organizations服务控制策略（SCP）

   • 若你的账号属于AWS Organizations，需确认组织或OU级别的SCP未禁止kms:CreateKey动作。SCP优先级高于IAM用户策略，只要SCP拒绝该操作，IAM策略的授权会被覆盖。

3. 替换为最小权限策略
   你提供的自定义策略包含大量冗余权限（如重复的kms:CreateKey、不必要的IAM列表权限），建议替换为仅保留创建非对称密钥所需权限的精简策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "kms:CreateKey",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "kms:PutKeyPolicy",
               "Resource": "arn:aws:kms:*:*:key/*"
           },
           {
               "Effect": "Allow",
               "Action": "kms:CreateAlias",
               "Resource": "*"
           }
       ]
   }
   

   • kms:CreateKey必须指定Resource: "*"，因为创建密钥前ARN尚未生成，无法提前指定具体资源。
   • kms:PutKeyPolicy用于设置新密钥的访问策略，指定资源为KMS密钥ARN格式即可。
   • kms:CreateAlias为可选权限，若不需要创建别名可直接移除。

4. 通过CloudTrail定位精准原因
   前往AWS CloudTrail控制台，搜索该IAM用户的CreateKey操作日志，查看errorCode和errorMessage字段，可直接获取被拒绝的具体权限或触发限制的策略信息。

内容的提问来源于stack exchange，提问作者Mehmet_faik