AWS política gerenciada para AWS Secrets Manager

Uma política AWS gerenciada é uma política autônoma criada e administrada por AWS. AWS as políticas gerenciadas são projetadas para fornecer permissões para muitos casos de uso comuns, para que você possa começar a atribuir permissões a usuários, grupos e funções.

Lembre-se de que as políticas AWS gerenciadas podem não conceder permissões de privilégio mínimo para seus casos de uso específicos porque elas estão disponíveis para uso de todos os AWS clientes. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente específicas para seus casos de uso.

Você não pode alterar as permissões definidas nas políticas AWS gerenciadas. Se AWS atualizar as permissões definidas em uma política AWS gerenciada, a atualização afetará todas as identidades principais (usuários, grupos e funções) às quais a política está anexada. AWS é mais provável que atualize uma política AWS gerenciada quando uma nova AWS service (Serviço da AWS) é lançada ou novas operações de API são disponibilizadas para serviços existentes.

Para mais informações, consulte Políticas gerenciadas pela AWS no Manual do usuário do IAM.

AWS política gerenciada: SecretsManagerReadWrite

Essa política fornece acesso de leitura/gravação aos recursos do Amazon RDS AWS Secrets Manager, Amazon Redshift e Amazon DocumentDB, incluindo permissão para descrever recursos do Amazon RDS, Amazon Redshift e Amazon DocumentDB, além de permissão para usar para criptografar e descriptografar segredos. AWS KMS Essa política também fornece permissão para criar conjuntos de AWS CloudFormation alterações, obter modelos de rotação de um bucket do Amazon S3 gerenciado por AWS, listar AWS Lambda funções e descrever as VPCs do Amazon EC2. Essas permissões são exigidas pelo console para configurar a rotação com as funções de rotação existentes.

Para criar novas funções de rotação, você também deve ter permissão para criar AWS CloudFormation pilhas e funções de AWS Lambda execução. Você pode atribuir a política FullAccess gerenciada do IAM. Consulte Permissões para alternância.

Detalhes das permissões

Esta política inclui as seguintes permissões:

• secretsmanager: permite que entidades principais realizem todas as ações do Secrets Manager.

• cloudformation— Permite que os diretores criem AWS CloudFormation pilhas. Isso é necessário para que os diretores que usam o console para ativar a rotação possam criar funções AWS CloudFormation de rotação do Lambda por meio de pilhas. Para ter mais informações, consulte Como o Secrets Manager usa AWS CloudFormation.

• ec2: permite que as entidades principais descrevam as VPCs do Amazon EC2. Isso é necessário para que as entidades principais que usam o console possam criar funções de rotação na mesma VPC do banco de dados das credenciais que estão armazenando em um segredo.

• kms— Permite que os diretores usem AWS KMS chaves para operações criptográficas. Isso é necessário para que o Secrets Manager possa criptografar e descriptografar segredos. Para ter mais informações, consulte Criptografia e decodificação secretas em AWS Secrets Manager.

• lambda: permite que as entidades principais listem as funções de rotação do Lambda. Isso é necessário para que as entidades principais que usam o console possam escolher as funções de rotação existentes.

• rds: permite que as entidades principais descrevam clusters e instâncias no Amazon RDS. Isso é necessário para que as entidades principais que usam o console possam escolher clusters ou instâncias do Amazon RDS.

• redshift: permite que as entidades principais descrevam clusters no Amazon Redshift. Isso é necessário para que as entidades principais que usam o console possam escolher clusters do Amazon Redshift.

• redshift-serverless— Permite que os diretores descrevam namespaces no Amazon Redshift Serverless. Isso é necessário para que os diretores que usam o console possam escolher namespaces sem servidor do Amazon Redshift.

• docdb-elastic: permite que as entidades principais descrevam clusters elásticos no Amazon DocumentDB. Isso é necessário para que as entidades principais que usam o console possam escolher clusters elásticos do Amazon DocumentDB.

• tag: permite que as entidades principais obtenham todos os recursos marcados na conta.

• serverlessrepo— Permite que os diretores criem conjuntos de AWS CloudFormation mudanças. Isso é necessário para que as entidades principais que usam o console possam criar funções de rotação do Lambda. Para ter mais informações, consulte Como o Secrets Manager usa AWS CloudFormation.

• s3— Permite que os diretores obtenham objetos de um bucket do Amazon S3 que é gerenciado pelo. AWS Esse bucket contém Modelos de função de alternância do Lambda. Essa permissão é necessária para que as entidades principais que usam o console possam criar funções de rotação do Lambda com base nos modelos no bucket. Para ter mais informações, consulte Como o Secrets Manager usa AWS CloudFormation.

Para ver a política, consulte o documento de política SecretsManagerReadWrite JSON.

Atualizações do Secrets Manager para políticas AWS gerenciadas

Veja detalhes sobre as atualizações das políticas AWS gerenciadas do Secrets Manager.

Alteração	Descrição	Data
SecretsManagerReadWrite: atualizar para uma política existente	Essa política foi atualizada para permitir descrever o acesso ao Amazon Redshift Serverless para que os usuários do console possam escolher um namespace do Amazon Redshift Serverless ao criarem um segredo do Amazon Redshift.	12 de março de 2024
SecretsManagerReadWrite: atualização para uma política existente	Essa política foi atualizada para permitir descrever o acesso aos clusters elásticos do Amazon DocumentDB para que os usuários do console possam escolher um cluster elástico ao criar um segredo do Amazon DocumentDB.	12 de setembro de 2023
SecretsManagerReadWrite: atualização para uma política existente	Essa política foi atualizada para permitir descrever o acesso ao Amazon Redshift para que os usuários do console possam escolher um cluster do Amazon Redshift ao criarem um segredo do Amazon Redshift. A atualização também adicionou novas permissões para permitir acesso de leitura a um bucket do Amazon S3 gerenciado pela empresa AWS que armazena os modelos de função de rotação do Lambda.	24 de junho de 2020
SecretsManagerReadWrite: atualização para uma política existente	Essa política foi atualizada para permitir descrever o acesso aos clusters do Amazon RDS para que os usuários do console possam escolher um cluster ao criar um segredo do Amazon RDS.	3 de maio de 2018
SecretsManagerReadWrite – Nova política	O Secrets Manager criou uma política para conceder as permissões necessárias para usar o console com todo o acesso de leitura e gravação ao Secrets Manager.	04 de abril de 2018
O Secrets Manager começou a rastrear as alterações	O Secrets Manager começou a monitorar as mudanças em suas políticas AWS gerenciadas.	04 de abril de 2018