AWS política gestionada para AWS Secrets Manager

Una política AWS administrada es una política independiente creada y administrada por AWS. AWS Las políticas administradas están diseñadas para proporcionar permisos para muchos casos de uso comunes, de modo que pueda empezar a asignar permisos a usuarios, grupos y funciones.

Ten en cuenta que es posible que las políticas AWS administradas no otorguen permisos con privilegios mínimos para tus casos de uso específicos, ya que están disponibles para que los usen todos los AWS clientes. Se recomienda definir políticas administradas por el cliente específicas para sus casos de uso a fin de reducir aún más los permisos.

No puedes cambiar los permisos definidos en AWS las políticas administradas. Si AWS actualiza los permisos definidos en una política AWS administrada, la actualización afecta a todas las identidades principales (usuarios, grupos y roles) a las que está asociada la política. AWS es más probable que actualice una política AWS administrada cuando Servicio de AWS se lance una nueva o cuando estén disponibles nuevas operaciones de API para los servicios existentes.

Para obtener más información, consulte Políticas administradas por AWS en la Guía del usuario de IAM.

AWS política gestionada: SecretsManagerReadWrite

Esta política proporciona acceso de lectura y escritura a los recursos de Amazon RDS AWS Secrets Manager, Amazon Redshift y Amazon DocumentDB, incluido el permiso para describirlos, así como el permiso para usarlos para cifrar y descifrar secretos. AWS KMS Esta política también permite crear conjuntos de AWS CloudFormation cambios, obtener plantillas de rotación de un bucket de Amazon S3 gestionado por AWS, enumerar AWS Lambda funciones y describir las VPC de Amazon EC2. La consola necesita estos permisos para configurar la rotación con las funciones de rotación existentes.

Para crear nuevas funciones de rotación, también debe tener permiso para crear AWS CloudFormation pilas y AWS Lambda funciones de ejecución. Puede asignar la política FullAccess gestionada de IAM. Consulte Permisos para rotación.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• secretsmanager: permite a las entidades principales realizar todas las acciones de Secrets Manager.

• cloudformation— Permite a los directores crear AWS CloudFormation pilas. Esto es necesario para que los directores que utilizan la consola para activar la rotación puedan crear funciones AWS CloudFormation de rotación Lambda a través de pilas. Para obtener más información, consulte Cómo Secrets Manager utiliza AWS CloudFormation.

• ec2: permite a las entidades principales describir VPC de Amazon EC2. Esto es necesario para que las entidades principales que utilicen la consola puedan crear funciones de rotación en la misma VPC que la base de datos de las credenciales que están almacenando en un secreto.

• kms— Permite a los directores utilizar AWS KMS claves para las operaciones criptográficas. Esto es necesario para que Secrets Manager pueda cifrar y descifrar secretos. Para obtener más información, consulte Cifrado y descifrado secretos en AWS Secrets Manager.

• lambda: permite a las entidades principales enumerar funciones de rotación de Lambda. Esto es necesario para que las entidades principales que utilicen la consola puedan seleccionar funciones de rotación existentes.

• rds: permite a las entidades principales describir clústeres e instancias de Amazon RDS. Esto es necesario para que las entidades principales que utilicen la consola puedan seleccionar clústeres o instancias de Amazon RDS.

• redshift: permite a las entidades principales describir clústeres de Amazon Redshift. Esto es necesario para que las entidades principales que utilicen la consola puedan seleccionar clústeres de Amazon Redshift.

• redshift-serverless— Permite a los directores describir los espacios de nombres en Amazon Redshift Serverless. Esto es necesario para que los directores que utilizan la consola puedan elegir los espacios de nombres de Amazon Redshift Serverless.

• docdb-elastic: permite a las entidades principales describir clústeres elásticos de Amazon DocumentDB. Esto es necesario para que las entidades principales que utilicen la consola puedan seleccionar clústeres elásticos de Amazon DocumentDB.

• tag: permite a las entidades principales obtener todos los recursos de la cuenta que estén etiquetados.

• serverlessrepo— Permite a los directores crear conjuntos de cambios. AWS CloudFormation Esto es necesario para que las entidades principales que utilicen la consola puedan crear funciones de rotación de Lambda. Para obtener más información, consulte Cómo Secrets Manager utiliza AWS CloudFormation.

• s3— Permite a los directores obtener objetos de un bucket de Amazon S3 gestionado por AWS. Este bucket contiene Plantillas de función de rotación de Lambda. Este permiso es necesario para que las entidades principales que utilicen la consola puedan crear funciones de rotación de Lambda basadas en las plantillas del bucket. Para obtener más información, consulte Cómo Secrets Manager utiliza AWS CloudFormation.

Para ver la política, consulte el documento de política de SecretsManagerReadWrite JSON.

Secrets Manager actualiza las políticas AWS gestionadas

Consulta los detalles sobre las actualizaciones de las políticas AWS gestionadas de Secrets Manager.

Cambio	Descripción	Fecha
SecretsManagerReadWrite: actualización de una política actual	Esta política se actualizó para permitir describir el acceso a Amazon Redshift Serverless, de modo que los usuarios de consolas puedan elegir un espacio de nombres de Amazon Redshift Serverless al crear un secreto de Amazon Redshift.	12 de marzo de 2024
SecretsManagerReadWrite: actualización de una política actual	Esta política se actualizó para permitir describir el acceso a clústeres elásticos de Amazon DocumentDB de modo que los usuarios de la consola puedan seleccionar un clúster elástico al crear un secreto de Amazon DocumentDB.	12 de septiembre de 2023
SecretsManagerReadWrite: actualización de una política actual	Esta política se actualizó para permitir describir el acceso a Amazon Redshift de modo que los usuarios de la consola puedan seleccionar un clúster de Amazon Redshift al crear un secreto de Amazon Redshift. La actualización también agregó nuevos permisos para permitir el acceso de lectura a un bucket de Amazon S3 administrado por el AWS que se almacenan las plantillas de funciones de rotación de Lambda.	24 de junio de 2020
SecretsManagerReadWrite: actualización de una política actual	Esta política se actualizó para permitir describir el acceso a clústeres de Amazon RDS de modo que los usuarios de la consola puedan seleccionar un clúster al crear un secreto de Amazon RDS.	3 de mayo de 2018
SecretsManagerReadWrite: política nueva	Secrets Manager creó una política para conceder los permisos que sean necesarios para utilizar la consola con todos los accesos de lectura/escritura a Secrets Manager.	04 de abril de 2018
Secrets Manager comenzó a realizar un seguimiento de los cambios	Secrets Manager comenzó a realizar un seguimiento de los cambios en sus políticas AWS gestionadas.	04 de abril de 2018