Una aplicación que se ejecuta en Amazon EKS necesita credenciales confidenciales almacenadas en Secrets Manager. Los secretos están cifrados con una clave KMS administrada por el cliente. Una cuenta de servicio de Kubernetes para una herramienta de terceros proporciona los secretos a las aplicaciones asumiendo un rol de IAM creado para acceder a Secrets Manager. La cuenta de servicio recibe un error 403 Forbidden al intentar recuperar los secretos. ¿Cuál es la causa raíz?

La causa raíz del error 403 Forbidden es que la política de claves de KMS no autoriza al rol de IAM que asume la cuenta de servicio de Kubernetes a utilizar la clave para descifrar los secretos. Aunque el rol de IAM pueda tener permisos para acceder a Secrets Manager, si los secretos están cifrados con una clave KMS administrada por el cliente, ese rol también necesita permisos explícitos en la política de claves de KMS para realizar operaciones de descifrado. Las otras opciones son incorrectas porque: El rol de IAM adjunto al clúster de EKS no es el que directamente recupera los secretos en este escenario; es el rol asumido por la cuenta de servicio de Kubernetes. La política de claves de la clave administrada por el cliente de KMS no necesita permitir que el rol de IAM del clúster de EKS use la clave, ya que el clúster no es el que accede directamente a los secretos. El rol de IAM asumido por la cuenta de servicio de Kubernetes no necesita permiso para acceder al clúster de EKS para recuperar secretos de Secrets Manager.