密钥管理服务通过身份与访问控制（Identity and Access Management，缩写：IAM）实现对资源的访问控制。下面介绍 KMS 定义的资源类型和操作权限。

火山引擎账号对自己的资源拥有完整的操作权限，IAM 用户和 IAM 角色则需要通过显式授权获取对应资源的操作权限。

资源类型

操作权限

针对每一个需要进行访问控制的接口，KMS 都定义了用于IAM权限策略的操作（Action），通常为kms:<api-name>。

下面展示KMS各个操作接口所需的资源类型：

系统默认权限

KMSFullAccess

{
    "Version": "1",
    "Statement": [ 
        {
            "Effect": "Allow",
            "Action": "kms:*",
            "Resource": [
                "*"
            ]
        }
    ]
}

KMSReadOnlyAccess

{
    "Version": "1",
    "Statement": [ 
        {
            "Effect": "Allow",
            "Action": "kms:Describe*",
            "Resource": [
                "*"
            ]
        }
    ]
}

KMSCryptoUserAccess

{
    "Version": "1",
    "Statement": [ 
        {
            "Effect": "Allow",
            "Action": ["kms:GenerateDataKey", "kms:Encrypt", "kms:Decrypt"],
            "Resource": [
                "*"
            ]
        }
    ]
}