Exemples de politiques IAM pour les secrets dans AWS Secrets Manager

Au cours de l'installation, vous créez une politique IAM à laquelle vous attribuez AWS Elemental MediaPackage. Cette politique permet AWS Elemental MediaPackage de lire les secrets que vous y avez enregistrés AWS Secrets Manager. Les paramètres de cette stratégie sont à votre entière discrétion. La politique peut aller de la plus restrictive (autoriser l'accès à des secrets spécifiques uniquement) à la moins restrictive (autoriser l'accès à tout secret que vous créez à l'aide de ce AWS compte). Nous vous recommandons d'utiliser la stratégie la plus restrictive à titre de bonne pratique. Toutefois, les exemples figurant dans cette section vous montrent comment configurer des stratégies avec différents niveaux de restriction. Étant donné que seul un accès en lecture aux secrets est AWS Elemental MediaPackage nécessaire, tous les exemples de cette section montrent uniquement les actions nécessaires pour lire les valeurs que vous stockez.

Autoriser l'accès en lecture à des secrets spécifiques dans AWS Secrets Manager

La politique IAM suivante autorise l'accès en lecture à des ressources spécifiques (secrets) que vous créez dans AWS Secrets Manager.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes128-1a2b3c",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes192-4D5e6F",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes256-7g8H9i"
                  ]
                }
              ]
            }

Autoriser l'accès en lecture à tous les secrets créés dans une région spécifique dans AWS Secrets Manager

La politique IAM suivante autorise l'accès en lecture à tous les secrets que vous créez dans une AWS région spécifique dans AWS Secrets Manager. Cette stratégie s'applique aux ressources que vous avez déjà créées et à toutes les ressources que vous créez à l'avenir dans la région spécifiée.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:*"
                  ]
                }
              ]
            }

Autoriser l'accès en lecture à toutes les ressources dans AWS Secrets Manager

La stratégie IAM suivante permet l'accès en lecture à toutes les ressources que vous créez dans AWS Secrets Manager. Cette stratégie s'applique aux ressources que vous avez déjà créées et à toutes les ressources que vous créerez à l'avenir.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": ["*"]
                }
              ]
            }