Orion Retail almacena las credenciales de la base de datos en AWS Secrets Manager en la Cuenta B, cifradas con una clave KMS administrada por el cliente en la Cuenta B. Un microservicio que se ejecuta en la Cuenta A (rol: arn:aws:iam::111111111111:role/OrdersAppRole) necesita acceso de solo lectura al secreto. El equipo agregó una política de IAM al rol que permite secretsmanager:GetSecretValue en el ARN del secreto, pero aún recibe errores de AccessDenied de KMS. ¿Qué debe hacer el equipo de seguridad para otorgar acceso entre cuentas con el menor privilegio?

La opción correcta es la única que aborda ambos requisitos de acceso: a Secrets Manager y a KMS. Para que OrdersAppRole en la Cuenta A acceda al secreto en la Cuenta B, se necesita una política basada en recursos en el secreto (en la Cuenta B) que permita secretsmanager:GetSecretValue al rol de la Cuenta A. Además, dado que el secreto está cifrado con una clave KMS administrada por el cliente en la Cuenta B, la política de clave de KMS (en la Cuenta B) debe permitir kms:Decrypt para el mismo rol de la Cuenta A. Las otras opciones son incorrectas porque: Replicar el secreto en la Cuenta A no es una solución de menor privilegio ni escalable para acceso entre cuentas, y puede introducir problemas de sincronización. Crear VPC interface endpoints no resuelve los problemas de permisos de IAM para acceder al secreto o a la clave KMS; los endpoints facilitan la conectividad de red, no la autorización. Solo actualizar la política de IAM de OrdersAppRole con kms:Decrypt no es suficiente; el secreto también necesita una política basada en recursos que permita el acceso al rol.