Uma aplicação rodando no Amazon EKS precisa de credenciais confidenciais armazenadas no Secrets Manager. Os segredos são criptografados com uma chave KMS gerenciada pelo cliente. Uma conta de serviço Kubernetes para uma ferramenta de terceiros fornece os segredos para as aplicações, assumindo uma função IAM criada para acessar o Secrets Manager. A conta de serviço recebe um erro 403 Forbidden ao tentar recuperar os segredos. Qual é a causa raiz?

A resposta correta é que a política de chave da chave KMS gerenciada pelo cliente não permite que a função IAM assumida pela conta de serviço Kubernetes use a chave. Embora a função IAM possa ter permissão para acessar o Secrets Manager, a chave KMS usada para criptografar o segredo tem sua própria política de chave. Essa política deve explicitamente permitir que a função IAM que tenta acessar o segredo use a chave KMS para descriptografia. Sem essa permissão na política de chave KMS, a operação falhará com um erro 403 Forbidden, mesmo que as permissões do Secrets Manager estejam corretas. As outras opções são incorretas porque: A função IAM anexada ao cluster EKS geralmente não é a que recupera os segredos diretamente para as aplicações; essa é a função da conta de serviço Kubernetes. A política de chave da chave KMS gerenciada pelo cliente não precisa permitir que a função IAM do cluster EKS use a chave, mas sim a função IAM que a conta de serviço assume. A função IAM assumida pela conta de serviço Kubernetes não precisa de permissão para acessar o cluster EKS para recuperar segredos; ela precisa de permissão para interagir com o Secrets Manager e o KMS.