Ejemplos de políticas de IAM para secretos en AWS Secrets Manager

Durante la instalación, se crea una política de IAM que se asigna a AWS Elemental MediaPackage. Esta política permite a AWS Elemental MediaPackage leer secretos almacenados en AWS Secrets Manager. La configuración de esta política es bajo su criterio. La política puede ir desde la más restrictiva (permitiendo el acceso solo a secretos específicos) hasta la menos restrictiva (permitiendo el acceso a cualquier secreto que cree con esta cuenta de AWS). Recomendamos utilizar la política más restrictiva como práctica recomendada. Sin embargo, los ejemplos de esta sección muestran cómo configurar políticas con diferentes niveles de restricción. Dado que solo AWS Elemental MediaPackage necesita acceso de lectura a secretos, todos los ejemplos de esta sección solo muestran las acciones necesarias para leer los valores que almacena.

Permitir acceso de lectura a secretos específicos en AWS Secrets Manager

La siguiente política de IAM permite el acceso de lectura a recursos específicos (secretos) que cree en AWS Secrets Manager.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes128-1a2b3c",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes192-4D5e6F",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes256-7g8H9i"
                  ]
                }
              ]
            }

Permitir acceso de lectura a todos los secretos creados en una región específica en AWS Secrets Manager

La siguiente política de IAM permite el acceso de lectura a todos los secretos que cree en una región de AWS específica en AWS Secrets Manager. Esta política se aplica a los recursos que ya ha creado y a todos los recursos que cree en el futuro en la región especificada.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:*"
                  ]
                }
              ]
            }

Permitir acceso de lectura a todos los recursos de AWS Secrets Manager

La siguiente política de IAM permite el acceso de lectura a todos los recursos que cree en AWS Secrets Manager. Esta política se aplica a los recursos que ya ha creado y a todos los recursos que cree en el futuro.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": ["*"]
                }
              ]
            }