Ein Unternehmen nutzt AWS Organizations und Control Tower für die Governance und ein Transit Gateway für die VPC-Konnektivität über mehrere Konten hinweg. Das Anwendungsteam hat eine Webanwendung (Lambda + RDS) in einem Anwendungskonto bereitgestellt. DBAs in einem separaten DBA-Konto verwalten Datenbanken zentral und verwenden eine EC2-Instance im DBA-Konto, um auf eine RDS-Instance im Anwendungskonto zuzugreifen. Das Anwendungsteam speichert DB-Anmeldeinformationen in AWS Secrets Manager im Anwendungskonto und teilt Geheimnisse derzeit manuell mit den DBAs. Geheimnisse werden mit dem standardmäßigen von AWS verwalteten Secrets Manager-Schlüssel im Anwendungskonto verschlüsselt. Entwerfen Sie eine Lösung, die den DBAs Zugriff auf die Datenbank ermöglicht, ohne dass Geheimnisse manuell geteilt werden müssen.

Die korrekte Lösung verwendet das IAM-Rollen-Delegationsmodell, das für den sicheren kontoübergreifenden Zugriff auf AWS-Ressourcen konzipiert ist. Die DBA-Admin-Rolle im DBA-Konto kann die DBA-Secret-Rolle im Anwendungskonto übernehmen, um auf die Geheimnisse zuzugreifen. Dies ist eine bewährte Methode für den kontoübergreifenden Zugriff. Die Option mit AWS Resource Access Manager (RAM) ist falsch, da Secrets Manager-Geheimnisse nicht direkt über RAM geteilt werden können. RAM wird hauptsächlich zum Teilen von Ressourcen wie Subnetzen, Transit Gateway-Anhängen und Lizenzkonfigurationen verwendet. Die Option mit einer ressourcenbasierten Schlüsselrichtlinie für den KMS-Schlüssel ist falsch, da der Secrets Manager-Dienst den Zugriff auf Geheimnisse über seine eigenen IAM-Richtlinien steuert, nicht direkt über die KMS-Schlüsselrichtlinie. Obwohl der KMS-Schlüssel für die Verschlüsselung verwendet wird, ist die Zugriffskontrolle auf das Geheimnis selbst primär Sache von Secrets Manager. Die Option mit einer Service Control Policy (SCP) ist falsch, da SCPs Berechtigungen auf Organisationsebene festlegen und den maximalen Zugriff für Konten definieren, aber keine Berechtigungen erteilen. Sie können den Zugriff einschränken, aber nicht den Zugriff auf bestimmte Ressourcen in einem anderen Konto ermöglichen.