Elastic Beanstalk가 보안 암호 및 파라미터에 액세스하는 데 필요한 IAM 권한

AWS Secrets Manager 및 AWS Systems Manager 파라미터 스토어의 보안 암호와 파라미터를 가져오는 데 필요한 권한을 환경의 EC2 인스턴스에 부여해야 합니다. 권한은 EC2 인스턴스 프로파일 역할을 통해 EC2 인스턴스에 제공됩니다. Elastic Beanstalk 인스턴스 프로파일 관리

다음 섹션에서는 사용하는 서비스에 따라 EC2 인스턴스 프로파일에 추가해야 하는 특정 권한을 나열합니다. IAM 사용 설명서의 역할에 대한 권한 정책 업데이트에 제공된 단계에 따라 이러한 권한을 추가합니다.

Secrets Manager에 필요한 IAM 권한

다음 권한은 AWS Secrets Manager 스토어에서 암호화된 보안 암호를 가져올 수 있는 액세스 권한을 부여합니다.

보안 암호 AWS KMS key 가 기본 키 대신 고객 관리형 키를 사용하는 경우에만를 복호화할 수 있는 권한이 필요합니다. 사용자 지정 키 ARN을 추가하면 고객 관리형 키를 해독할 수 있는 권한이 추가됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:111122223333:secret:my-secret",
                "arn:aws:kms:us-east-1:111122223333:key/my-key"
            ]
        }
    ]
}

필수 IAM 권한 Systems Manager 파라미터 스토어

다음 권한은 파라미터 스토어에서 암호화된 파라미터를 가져올 수 있는 액세스 권한을 부여합니다 AWS Systems Manager .

를 복호화할 수 있는 권한 AWS KMS key 은 기본 키 대신 고객 관리형 키를 사용하는 SecureString 파라미터 유형에만 필요합니다. 사용자 지정 키 ARN을 추가하면 고객 관리형 키를 해독할 수 있는 권한이 추가됩니다. 암호화되지 않은 일반 파라미터 유형인 String 및 에는이 필요하지 StringList않습니다 AWS KMS key.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/my-parameter",
                "arn:aws:kms:us-east-1:111122223333:key/my-key"
            ]
        }
    ]
}