Orion Retail archivia le credenziali del database in AWS Secrets Manager nell'Account B, crittografate con una chiave KMS gestita dal cliente nell'Account B. Un microservizio in esecuzione nell'Account A (ruolo: arn:aws:iam::111111111111:role/OrdersAppRole) necessita di accesso in sola lettura al segreto. Il team ha aggiunto una policy IAM al ruolo che consente secretsmanager:GetSecretValue sull'ARN del segreto, ma riceve comunque errori AccessDenied da KMS. Cosa dovrebbe fare il team di sicurezza per concedere l'accesso cross-account con il privilegio minimo?

La risposta corretta è allegare una policy basata sulle risorse al segreto nell'Account B e aggiornare la policy della chiave KMS nell'Account B. Per l'accesso cross-account a Secrets Manager, sono necessarie due autorizzazioni distinte: secretsmanager:GetSecretValue sul segreto stesso (gestito tramite una policy basata sulle risorse sul segreto) e kms:Decrypt sulla chiave KMS utilizzata per crittografare il segreto (gestito tramite la policy della chiave KMS). L'errore AccessDenied da KMS indica che il ruolo OrdersAppRole non ha l'autorizzazione per utilizzare la chiave KMS per decrittografare il segreto. Replicare il segreto nell'Account A non è una soluzione a privilegio minimo e introduce ridondanza non necessaria. Creare endpoint VPC non risolve il problema delle autorizzazioni KMS. Aggiornare solo la policy IAM di OrdersAppRole non è sufficiente, poiché le policy basate sulle risorse (del segreto e della chiave KMS) devono esplicitamente consentire l'accesso da un account esterno.