AWS Secrets Manager のシークレットのためのポリシー例

セットアップ中に、AWS Elemental MediaConnect に割り当てるための IAM ポリシーを作成します。このポリシーは、AWS Secrets Manager に保存したシークレットを読み取ることを MediaConnect に許可します。このポリシーの設定はお客様の判断次第です。ポリシーの範囲は、最も制限の厳しいもの (特定のシークレットのみへのアクセスを許可する) から、制限の少ないもの (この AWS アカウントを使用して作成したすべてのシークレットへのアクセスを許可する) までです。ベストプラクティスとして、最も制限の厳しいポリシーを使用することをお勧めします。ただし、このセクションの例では、異なるレベルの制限を持つポリシーを設定する方法を説明します。MediaConnect が必要とするのはシークレットへの読み取りアクセスのみであるため、このセクションのすべての例では、保存する値の読み取りに必要なアクションのみを示しています。

AWS Secrets Manager の特定のシークレットへの読み取りアクセスを許可する

次の IAM ポリシーは、AWS Secrets Manager で作成した特定のリソース (シークレット) への読み取りアクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes128-1a2b3c",
                "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes192-4D5e6F",
                "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes256-7g8H9i"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:ListSecrets",
            "Resource": "*"
        }
    ]
}

AWS Secrets Manager の特定のリージョンで作成されたすべてのシークレットへの読み取りアクセスを許可する

次の IAM ポリシーは、AWS Secrets Manager の特定の AWS リージョンで作成するすべてのシークレットへの読み取りアクセスを許可します。このポリシーは、すでに作成したリソースと、指定したリージョンで将来作成するすべてのリソースに適用されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:*"
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:ListSecrets",
            "Resource": "*"
        }
    ]
}

AWS Secrets Manager 内のすべてのリソースへの読み取りアクセスを許可する

次の IAM ポリシーは、AWS Secrets Manager で作成するすべてのリソースへの読み取りアクセスを許可します。このポリシーは、既に作成したリソースと、今後作成するすべてのリソースに適用されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds",
                "secretsmanager:ListSecrets"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}