AWS Secrets Manager의 보안 암호에 대한 IAM 정책 예제

설치 중에 AWS Elemental MediaPackage에 할당할 IAM 정책을 생성합니다. 이 정책에서는 사용자가 AWS Secrets Manager에 저장한 보안 암호를 AWS Elemental MediaPackage가 읽도록 허용합니다. 이 정책에 대한 설정은 전적으로 사용자에게 달려 있습니다. 정책은 가장 제한적인 것(특정 보안 암호에 대해서만 액세스 허용)에서부터 가장 덜 제한적인 것(이 AWS 계정을 사용하여 생성하는 모든 보안 암호에 대한 액세스 허용)에 이르기까지 다양합니다. 가장 제한적인 정책을 모범 사례로 사용하는 것이 좋습니다. 그러나 이 단원의 예에서는 정책에 다양한 수준의 제한을 설정하는 방법을 보여줍니다. AWS Elemental MediaPackage는 보안 암호에 대한 읽기 액세스 권한만 있으면 되므로 이 섹션의 모든 예제에서는 사용자가 저장하는 값을 읽는 데 필요한 작업만 보여줍니다.

AWS Secrets Manager의 특정 보안 암호에 대한 읽기 액세스 허용

다음 IAM 정책은 AWS Secrets Manager에서 생성하는 특정 리소스(보안 암호)에 대한 읽기 액세스를 허용합니다.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes128-1a2b3c",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes192-4D5e6F",
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:aes256-7g8H9i"
                  ]
                }
              ]
            }

AWS Secrets Manager의 특정 리전에서 생성된 모든 보안 암호에 대한 읽기 액세스 허용

다음 IAM 정책에서는 사용자가 AWS Secrets Manager의 특정 AWS 리전에서 생성하는 모든 보안 암호에 대한 읽기 액세스를 허용합니다. 이 정책은 사용자가 이미 생성한 리소스와 지정된 리전에서 나중에 생성하는 리소스에 적용됩니다.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": [
                    "arn:aws:secretsmanager:us-west-2:111122223333:secret:*"
                  ]
                }
              ]
            }

AWS Secrets Manager의 모든 리소스에 대한 읽기 액세스 허용

다음 IAM 정책은 사용자가 AWS Secrets Manager에서 생성하는 모든 리소스에 대한 읽기 액세스를 허용합니다. 이 정책은 사용자가 이미 생성한 리소스와 나중에 생성하는 모든 리소스에 적용됩니다.

{
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": [
                    "secretsmanager:GetResourcePolicy",
                    "secretsmanager:GetSecretValue",
                    "secretsmanager:DescribeSecret",
                    "secretsmanager:ListSecretVersionIds"
                  ],
                  "Resource": ["*"]
                }
              ]
            }