Eine Anwendung in Konto A muss ein Secrets Manager-Secret abrufen, das unter einem KMS-Schlüssel in Konto B verschlüsselt ist. Die Rolle der Anwendung verfügt bereits über Secrets Manager-Berechtigungen in Konto B. Um der Rolle in Konto A die Verwendung des KMS-Schlüssels in Konto B mit dem geringsten Berechtigungsumfang zu ermöglichen, welche KMS-Berechtigungen sollten der Schlüsselrichtlinie hinzugefügt werden?

Die Anwendung in Konto A benötigt kms:Decrypt, um das Secrets Manager-Secret zu entschlüsseln, da es mit einem KMS-Schlüssel in Konto B verschlüsselt ist. kms:DescribeKey ist erforderlich, damit die Anwendung Informationen über den KMS-Schlüssel abrufen kann, was oft eine Voraussetzung für die Entschlüsselung ist. Diese beiden Berechtigungen stellen den geringsten Berechtigungsumfang dar, der für diese spezifische Aufgabe erforderlich ist. secretsmanager:DescribeSecret und secretsmanager:GetSecretValue sind Secrets Manager-Berechtigungen, die bereits vorhanden sind und nicht auf der KMS-Schlüsselrichtlinie konfiguriert werden. kms: und secretsmanager: würden zu viele Berechtigungen erteilen und verstoßen gegen das Prinzip der geringsten Rechte.