Orion Retail speichert Datenbank-Anmeldeinformationen in AWS Secrets Manager in Konto B, verschlüsselt mit einem kundenverwalteten KMS-Schlüssel in Konto B. Ein Mikroservice, der in Konto A läuft (Rolle: arn:aws:iam::111111111111:role/OrdersAppRole), benötigt schreibgeschützten Zugriff auf das Secret. Das Team hat der Rolle eine IAM-Richtlinie hinzugefügt, die secretsmanager:GetSecretValue für die Secret-ARN erlaubt, erhält aber immer noch AccessDenied-Fehler von KMS. Was sollte das Sicherheitsteam tun, um Least-Privilege-Cross-Account-Zugriff zu gewähren?

Um Least-Privilege-Cross-Account-Zugriff zu gewähren, müssen sowohl die Secrets Manager-Berechtigungen als auch die KMS-Entschlüsselungsberechtigungen korrekt konfiguriert werden. Die korrekte Option erlaubt der OrdersAppRole in Konto A, secretsmanager:GetSecretValue auf das Secret in Konto B zuzugreifen, indem eine ressourcenbasierte Richtlinie an das Secret angehängt wird. Zusätzlich muss die KMS-Schlüsselrichtlinie in Konto B aktualisiert werden, um kms:Decrypt für dieselbe Rolle zu erlauben, da das Secret mit einem kundenverwalteten KMS-Schlüssel verschlüsselt ist. Die anderen Optionen sind falsch, weil: das Replizieren des Secrets unnötige Komplexität und Synchronisationsprobleme verursacht; VPC-Schnittstellen-Endpunkte zwar die Konnektivität verbessern, aber nicht die Autorisierungsprobleme lösen; und das Aktualisieren nur der OrdersAppRole IAM-Richtlinie nicht ausreicht, da ressourcenbasierte Richtlinien für Cross-Account-Zugriff auf Secrets Manager und KMS erforderlich sind.