AWS Secrets Manager Replikation verhindern

Da Geheimnisse mit ReplicateSecretToRegionsoder bei ihrer Erstellung repliziert werden können, empfehlen wir Ihnen CreateSecret, Aktionen zu verhindern, die den Parameter enthalten, wenn Sie verhindern möchten, dass Benutzer Geheimnisse replizieren. AddReplicaRegions Sie können in Ihren Berechtigungsrichtlinien eine Condition Erklärung verwenden, um nur Aktionen zuzulassen, bei denen keine Replikatbereiche hinzugefügt werden. In den folgenden Richtlinienbeispielen finden Sie Hinweise zu Bedingungen, die Sie verwenden können.

Beispiel Sperren Sie die Replikationsberechtigung

Das folgende Richtlinienbeispiel zeigt, wie alle Aktionen zugelassen werden, bei denen keine Replikatbereiche hinzugefügt werden. Dadurch wird verhindert, dass Benutzer Geheimnisse sowohl ReplicateSecretToRegions mit als auch replizieren. CreateSecret

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "secretsmanager:AddReplicaRegions": "true"
        }
      }
    }
  ]
}

Beispiel Erlauben Sie die Replikationsberechtigung nur für bestimmte Regionen

Die folgende Richtlinie zeigt, wie Sie Folgendes zulassen können:

• Geheimnisse ohne Replikation erstellen

• Erstellen Sie Geheimnisse mit Replikation nur in Regionen in den USA und Kanada

• Replizieren Sie Geheimnisse nur in Regionen in den USA und Kanada

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:ReplicateSecretToRegions"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringLike": {
          "secretsmanager:AddReplicaRegions": [
            "us-*",
            "ca-*"
          ]
        }
      }
    }
  ]
}