AWS Secrets Manager のシークレットのための IAM ポリシー例

セットアップ中に、AWS Elemental MediaPackage に割り当てるための IAM ポリシーを作成します。このポリシーは、AWS Secrets Manager に保存したシークレットを読み取ることを AWS Elemental MediaPackage に許可します。このポリシーの設定はお客様の判断次第です。ポリシーの範囲は、最も制限の厳しいもの (特定のシークレットのみへのアクセスを許可する) から、制限の少ないもの (この AWS アカウントを使用して作成したすべてのシークレットへのアクセスを許可する) までです。ベストプラクティスとして、最も制限の厳しいポリシーを使用することをお勧めします。ただし、このセクションの例では、異なるレベルの制限を持つポリシーを設定する方法を説明します。AWS Elemental MediaPackage はシークレットへの読み取りアクセス権のみを必要とするため、このセクションのすべての例では、保存する値の読み取りに必要なアクションのみを示しています。

AWS Secrets Manager の特定のシークレットへの読み取りアクセスを許可する

次の IAM ポリシーは、AWS Secrets Manager で作成した特定のリソース (シークレット) への読み取りアクセスを許可します。

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes128-1a2b3c",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes192-4D5e6F",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes256-7g8H9i"
                  ]
                }
              ]
            }

AWS Secrets Manager の特定のリージョンで作成されたすべてのシークレットへの読み取りアクセスを許可する

次の IAM ポリシーは、AWS Secrets Manager の特定の AWS リージョンで作成するすべてのシークレットへの読み取りアクセスを許可します。このポリシーは、すでに作成したリソースと、指定したリージョンで将来作成するすべてのリソースに適用されます。

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:*"
                  ]
                }
              ]
            }

AWS Secrets Manager 内のすべてのリソースへの読み取りアクセスを許可する

次の IAM ポリシーは、AWS Secrets Manager で作成するすべてのリソースへの読み取りアクセスを許可します。このポリシーは、既に作成したリソースと、今後作成するすべてのリソースに適用されます。

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": ["*"]
                }
              ]
            }