Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione dei problemi AWS Secrets Manager

Utilizza le informazioni contenute in questa pagina per diagnosticare e risolvere i problemi che possono verificarsi durante l'utilizzo di ruoli con Secrets Manager.

Per i problemi relativi alla rotazione, consulta Risoluzione dei problemi AWS Secrets Manager rotazione.

Messaggi di «Accesso negato»

Quando effettui una chiamata API come GetSecretValue o CreateSecret verso Secrets Manager, devi disporre delle autorizzazioni IAM per effettuare quella chiamata. Quando usi la console, la console effettua le stesse chiamate API per tuo conto, quindi devi disporre anche delle autorizzazioni IAM. Un amministratore può concedere le autorizzazioni allegando una policy IAM al tuo utente IAM o a un gruppo di cui sei membro. Se le dichiarazioni di policy che concedono tali autorizzazioni includono eventuali condizioni, ad esempio limitazioni relative a indirizzo IP o ora del giorno, sarà inoltre necessario che tali requisiti siano soddisfatti, quando invii la richiesta. Per informazioni sulla visualizzazione o sulla modifica delle policy per un ruolo, un gruppo o un utente IAM, consulta Lavorare con le policy nella Guida per l'utente di IAM. Per informazioni sulle autorizzazioni richieste per Secrets Manager, consulta Autenticazione e controllo degli accessi per AWS Secrets Manager.

Se firmi manualmente le richieste API, senza utilizzare gli AWS SDK, verifica di aver firmato la richiesta correttamente.

“Accesso negato” per le credenziali di sicurezza temporanee

Verifica che l'utente o il ruolo IAM utilizzato per effettuare la richiesta disponga delle autorizzazioni corrette. Autorizzazioni per credenziali di sicurezza temporanee derivano da un utente o ruolo IAM. Questo significa che le autorizzazioni sono limitate a quelle concesse al ruolo o all'utente IAM. Per ulteriori informazioni su come sono determinate le autorizzazioni per le credenziali di sicurezza provvisorie, consulta controllo delle autorizzazioni per le credenziali di sicurezza provvisorie nella Guida IAM per lo sviluppatore.

Verifica che le richieste vengano firmate correttamente e che il formato della richiesta sia valido. Per i dettagli, consulta la documentazione del toolkit per l'SDK scelto o Uso delle credenziali di sicurezza temporanee per richiedere l'accesso alle AWS risorse nella Guida per l'utente IAM.

Verifica che le credenziali di sicurezza provvisorie non siano scadute. Per ulteriori informazioni, consulta Richiesta di credenziali di sicurezza provvisorie nella Guida per l'utente di IAM.

Per informazioni sulle autorizzazioni richieste per Secrets Manager, consulta Autenticazione e controllo degli accessi per AWS Secrets Manager.

Le modifiche apportate non sono sempre immediatamente visibili.

Secrets Manager utilizza un modello di calcolo distribuito chiamato consistenza finale. Qualsiasi modifica apportata a Secrets Manager (o ad altri AWS servizi) richiede tempo per diventare visibile da tutti gli endpoint possibili. Alcuni dei ritardi sono dovuti al tempo necessario per inviare i dati da un server a un altro, da una zona di replica a un'altra e da una regione a un'altra nel mondo. Secrets Manager utilizza inoltre la memorizzazione nella cache per migliorare le prestazioni, è possibile che ciò aumenti il tempo. in quanto la modifica potrebbe risultare visibile solo dopo il timeout dei dati memorizzati nella cache.

Progetta le tue applicazioni globali in modo da considerare questi potenziali ritardi e assicurati che funzionino come previsto, anche quando una modifica apportata in una posizione non è immediatamente visibile in un'altra.

Per ulteriori informazioni su come alcuni altri AWS servizi sono influenzati dalla coerenza finale, consulta:

Errori di «Reimpostazione della connessione tramite peer»

Quando chiami Secrets Manager, di tanto in tanto potresti ricevere un errore di ripristino della connessione da parte di un peer. Ciò accade quando il server chiude una connessione TCP che il client sta utilizzando o sta tentando di utilizzare. Per gestire la capacità e mantenere la disponibilità, AWS i servizi, incluso Secrets Manager, possono chiudere le connessioni in qualsiasi momento.

Ciò riguarda molto spesso le connessioni keep-alive inattive che l'applicazione riutilizza, ma può anche influire sulle connessioni appena stabilite. Le reimpostazioni occasionali sono una parte normale della gestione del ciclo di vita delle connessioni. Non indicano un problema con il tuo segreto o il tuo account.

Gli AWS SDK gestiscono un pool di connessioni e ritentano questi errori su una nuova connessione per impostazione predefinita, quindi di solito non è necessario intraprendere alcuna azione. Se riscontri questi errori, procedi come segue:

Se questi errori persistono per un periodo prolungato, la causa è probabilmente diversa dai cicli di connessione di routine. Per identificare la causa, consultate l'AWS Health Dashboard per gli eventi di Secrets Manager nella vostra AWS regione. Verifica inoltre il percorso di rete verso l'endpoint del servizio, inclusi eventuali endpoint VPC, proxy, firewall o configurazione DNS. Se il problema persiste, contatta l'assistenza. AWS

«Impossibile generare una chiave dati con una chiave KMS asimmetrica» durante la creazione di una chiave segreta

Secrets Manager utilizza una chiave KMS di crittografia simmetrica associata a un segreto per generare una chiave di dati per ogni valore del segreto. Non puoi utilizzare una chiave KMS asimmetrica. Verifica di utilizzare una chiave KMS di crittografia simmetrica anziché una chiave KMS asimmetrica. Per le istruzioni, consulta Individuazione delle chiavi KMS asimmetriche.

Un record AWS CLI or AWS L'operazione SDK non riesce a trovare il mio segreto da un ARN parziale

In molti casi, Secrets Manager può trovare il segreto da una parte di un ARN anziché dall'ARN completo. Tuttavia, se il nome del tuo segreto termina con un trattino seguito da sei caratteri, Secrets Manager potrebbe non essere in grado di individuare il segreto da una sola parte di un ARN. Invece, ti consigliamo di utilizzare l'ARN completo o il nome del segreto.

Ulteriori dettagli

Secrets Manager include sei caratteri casuali alla fine del nome del segreto per garantire che l'ARN del segreto sia univoco. Se il segreto originale viene eliminato e quindi viene creato un nuovo segreto con lo stesso nome, i due segreti hanno ARN diversi grazie a questi caratteri. Gli utenti con accesso al vecchio segreto non ottengono automaticamente l'accesso al nuovo segreto perché gli ARN sono diversi.

Secrets Manager costruisce un ARN per un segreto con Regione, account, nome segreto e poi un trattino e altri sei caratteri, come segue:

arn:aws:secretsmanager:us-east-2:111122223333:secret:SecretName-abcdef

Se il tuo nome segreto termina con un trattino e sei caratteri, l'utilizzo di una sola parte dell'ARN può apparire in Secrets Manager come se si stesse specificando un ARN completo. Ad esempio, potresti avere un segreto denominato MySecret-abcdef con l'ARN

arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef-nutBrk

Se si chiama la seguente operazione, che utilizza solo una parte dell'ARN segreto, Secrets Manager potrebbe non trovare il segreto.

$ aws secretsmanager describe-secret --secret-id arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef

Questo segreto è gestito da un AWS servizio, ed è necessario utilizzare tale servizio per aggiornarlo.

Se questo messaggio viene visualizzato mentre provi a modificare un segreto, il segreto potrà essere aggiornato solo utilizzando il servizio di gestione riportato nel messaggio. Per ulteriori informazioni, consulta AWS Secrets Manager segreti gestiti da altri AWS servizi.

Per determinare chi gestisce un segreto, puoi rivedere il nome del segreto. I segreti gestiti da altri servizi sono preceduti dall'ID di quel servizio. Oppure, in AWS CLI, chiama describe-secret, quindi esamina il campo. OwningService

L'importazione del modulo Python non riesce quando si usa Transform: -2024-09-16 AWS::SecretsManager

Se stai usando Transform: AWS::SecretsManager-2024-09-16 e riscontri errori di importazione del modulo Python quando viene eseguita la funzione Lambda di rotazione, il problema è probabilmente causato da un valore incompatibile. Runtime Con questa versione di trasformazione, AWS CloudFormation gestisce automaticamente la versione di runtime, il codice e i file oggetto condivisi. Non è necessario gestirli da soli.