Résoudre les problèmes liés aux clés gérées par le client dans AWS IAM Identity Center

Cette rubrique décrit les erreurs courantes liées aux clés gérées par le client que vous pouvez rencontrer lors de l'utilisation AWS IAM Identity Center et fournit des étapes de dépannage pour les résoudre.

Accès refusé : problème d'autorisation de déchiffrement KMS

Erreur : « L'utilisateur xxxxxxx n'est pas autorisé à effectuer : kms: Déchiffrer la ressource associée à ce texte chiffré car aucune politique basée sur l'identité n'autorise l'action de déchiffrement » kms:

L'utilisateur ou le principal IAM ne dispose pas de l'kms:Decryptautorisation requise dans sa politique IAM ou dans sa politique de clé KMS.

Résolution des problèmes avec AWS CloudTrail :

1. Recherchez des kms.amazonaws.com événements dans CloudTrail

2. Rechercher le nom de l'événement Decrypt

3. Passez en revue les errorMessage champs errorCode et

4. Vérifiez userIdentity quel principal a tenté l'opération

Pour résoudre ce problème, accordez à l'utilisateur ou à l'IAM principal des autorisations kms:Decrypt d'accès dans sa politique IAM et sa politique de clé KMS. Pour de plus amples informations, veuillez consulter Implémentation de clés KMS gérées par le client dans AWS IAM Identity Center.

AWS échecs de connexion aux applications gérées avec une clé KMS gérée par le client activée dans IAM Identity Center

Si aucun utilisateur d'Identity Center ne peut se connecter aux applications AWS gérées et qu'une clé KMS gérée par le client est activée dans votre instance IAM Identity Center, vérifiez que la politique de clé KMS autorise les applications AWS gérées à utiliser la clé KMS gérée par le client. Pour de plus amples informations, veuillez consulter Déclarations de base relatives aux clés KMS et à la politique IAM.

AWS échec de l'installation d'applications gérées et de and/or l'attribution des utilisateurs lorsque la clé KMS gérée par le client est activée dans IAM Identity Center

Erreur : « L'utilisateur xxxxxxx n'est pas autorisé à effectuer : kms: Déchiffrer la ressource associée à ce texte chiffré car aucune politique basée sur l'identité n'autorise l'action de déchiffrement » kms:

L'utilisateur ou le principal IAM ne dispose pas de l'kms:Decryptautorisation requise dans sa politique IAM ou dans sa politique de clé KMS.

Résolution des problèmes avec CloudTrail :

1. Rechercher le nom de l'événement Decrypt

2. Passez en revue les errorMessage champs errorCode et

3. Vérifiez userIdentity quel principal a tenté l'opération

Pour résoudre ce problème, accordez à l'utilisateur ou à l'IAM principal des autorisations kms:Decrypt d'accès dans sa politique IAM et sa politique de clé KMS. Pour de plus amples informations, veuillez consulter Implémentation de clés KMS gérées par le client dans AWS IAM Identity Center.

Problème d'autorisations KMS : configuration de la clé gérée par le client avec AWS IAM Identity Center

L'utilisateur ou le principal IAM ne dispose pas d'une ou de plusieurs autorisations KMS requises (kms:Decrypt,, kms:Encryptkms:GenerateDataKey,kms:DescribeKey) lors de l'activation de la clé gérée par le client.

Résolution des problèmes avec CloudTrail :

1. RechercherDecrypt, EncryptGenerateDataKey, ou DescribeKey événements

2. Passez en revue les errorMessage champs errorCode et

3. Vérifiez userIdentity quel principal a tenté l'opération

Pour résoudre ce problème, accordez toutes les autorisations KMS requises à l'utilisateur ou au principal IAM dans sa politique basée sur l'identité ou sa politique de clé KMS. Pour de plus amples informations, veuillez consulter Implémentation de clés KMS gérées par le client dans AWS IAM Identity Center.