Elastic Beanstalk가 보안 암호 및 파라미터에 액세스하는 데 필요한 IAM 권한 - AWS Elastic Beanstalk
Secrets Manager 권한Systems Manager Parameter Store 권한

Elastic Beanstalk가 보안 암호 및 파라미터에 액세스하는 데 필요한 IAM 권한

AWS Secrets Manager 및 AWS Systems Manager Parameter Store의 보안 암호와 파라미터를 가져오는 데 필요한 권한을 환경의 EC2 인스턴스에 부여해야 합니다. 권한은 EC2 인스턴스 프로파일 역할을 통해 EC2 인스턴스에 제공됩니다.

다음 섹션에서는 사용하는 서비스에 따라 EC2 인스턴스 프로파일에 추가해야 하는 특정 권한을 나열합니다. IAM 사용 설명서의 역할에 대한 권한 정책 업데이트에 제공된 단계에 따라 이러한 권한을 추가합니다.

ECS 관리형 Docker 플랫폼에 대한 IAM 권한

ECS 관리형 Docker 플랫폼에는 이 주제에 제공된 권한 외에 추가 IAM 권한이 필요합니다. ECS 관리형 Docker 플랫폼 환경이 보안 암호와의 Elastic Beanstalk 환경 변수 통합을 지원하는 데 필요한 모든 권한에 대한 자세한 내용은 실행 역할 ARN 형식을 참조하세요.

Secrets Manager에 필요한 IAM 권한

다음 권한은 AWS Secrets Manager 스토어에서 암호화된 보안 암호를 가져올 수 있는 액세스 권한을 부여합니다.

  • secretsmanager:GetSecretValue

  • kms:Decrypt

보안 암호가 기본 키 대신 고객 관리형 키를 사용하는 경우에만 AWS KMS key를 복호화할 수 있는 권한이 필요합니다. 사용자 지정 키 ARN을 추가하면 고객 관리형 키를 해독할 수 있는 권한이 추가됩니다.

예 Secrets Manager 및 KMS 키 권한이 있는 정책
JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:111122223333:secret:my-secret",
                "arn:aws:kms:us-east-1:111122223333:key/my-key"
            ]
        }
    ]
}

Systems Manager Parameter Store에 필요한 IAM 권한

다음 권한은 AWS Systems Manager Parameter Store에서 암호화된 파라미터를 가져올 수 있는 액세스 권한을 부여합니다.

  • ssm:GetParameter

  • kms:Decrypt

AWS KMS key를 복호화할 수 있는 권한은 기본 키 대신 고객 관리형 키를 사용하는 SecureString 파라미터 유형에만 필요합니다. 사용자 지정 키 ARN을 추가하면 고객 관리형 키를 해독할 수 있는 권한이 추가됩니다. 암호화되지 않은 일반 파라미터 유형인 String 및 StringList에는 AWS KMS key가 필요하지 않습니다.

예 Systems Manager 및 AWS KMS 키 권한이 있는 정책
JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/my-parameter",
                "arn:aws:kms:us-east-1:111122223333:key/my-key"
            ]
        }
    ]
}