從不同帳戶存取 AWS Secrets Manager 秘密 - AWS Secrets Manager

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

從不同帳戶存取 AWS Secrets Manager 秘密

若要允許一個帳戶中的使用者存取另一個帳戶中的秘密 (跨帳戶存取)，您必須同時允許在資源政策和身分政策中的存取權。這與授予和秘密所在的同一帳戶中的身分存取權不同。

跨帳戶許可僅適用於下列操作：

您可以搭配 PutResourcePolicy 動作使用 BlockPublicPolicy 參數，透過防止透過直接連接到秘密的資源政策授予公開存取，以協助保護您的資源。您也可以使用 IAM Access Analyzer 驗證跨帳戶存取。

您還必須允許身分使用秘密加密所用的 KMS 金鑰。這是因為您無法將 AWS 受管金鑰 (aws/secretsmanager) 用於跨帳戶存取。您必須使用建立的 KMS 金鑰來加密秘密，然後將金鑰政策連接至秘密。建立 KMS 金鑰需支付費用。若要變更秘密的加密金鑰，請參閱 修改 AWS Secrets Manager 秘密。

重要

授予secretsmanager:PutResourcePolicy許可的資源型政策可讓委託人，甚至是其他帳戶中的委託人，能夠修改以資源為基礎的政策。此許可可讓主體提升現有的許可，例如取得秘密的完整管理存取權。我們建議您套用最低權限存取政策的原則。如需詳細資訊，請參閱資源型政策。

下列範例政策假設您在 Account1 中有秘密和加密金鑰，在 Account2 中有想要允許存取秘密值的身分。

步驟 1：將資源政策連接至 Account1 中的秘密

  • 以下政策允許 Account2 中的 ApplicationRole 存取 Account1 中的秘密。若要使用此政策，請參閱 資源型政策。

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ApplicationRole"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*"
        }
    ]
}
步驟 2：在 Account1 中將陳述式新增至 KMS 金鑰的金鑰政策

  • 下列金鑰政策陳述式允許 Account2 中的 ApplicationRole 使用 Account1 中的 KMS 金鑰來解密 Account1 中的秘密。若要使用此陳述式，請將其新增至 KMS 金鑰的金鑰政策。如需詳細資訊，請參閱變更金鑰政策。

    {
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::Account2:role/ApplicationRole"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}
步驟 3：將身分政策連接至 Account2 中的身分

  • 以下政策允許 Account2 中的 ApplicationRole 存取 Account1 中的秘密，並透過使用 Account1 中也有的加密金鑰來解密秘密值。若要使用此政策，請參閱 身分型政策。在 Secret ARN (秘密 ARN) 下的秘密詳細資訊頁面中，您可以從 Secrets Manager 主控台找到秘密的 ARN。或者，您也可以呼叫 describe-secret。

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "SecretARN"
        },
        {
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:us-east-1:Account1:key/EncryptionKey"
        }
    ]
}