Un'applicazione in esecuzione su Amazon EKS necessita di credenziali riservate archiviate in Secrets Manager. I segreti sono crittografati con una chiave KMS gestita dal cliente. Un account di servizio Kubernetes per uno strumento di terze parti fornisce i segreti alle applicazioni assumendo un ruolo IAM creato per accedere a Secrets Manager. L'account di servizio riceve un errore 403 Forbidden quando tenta di recuperare i segreti. Qual è la causa principale?

L'errore 403 Forbidden indica un problema di autorizzazione. Poiché i segreti sono crittografati con una chiave KMS gestita dal cliente, qualsiasi entità che tenti di decrittografarli deve avere le autorizzazioni appropriate sia nella policy IAM del ruolo che nella policy della chiave KMS. In questo scenario, il ruolo IAM assunto dall'account di servizio Kubernetes ha le autorizzazioni per accedere a Secrets Manager, ma la policy della chiave KMS non gli consente di utilizzare la chiave per la decrittografia. Le altre opzioni sono meno probabili: Se il ruolo IAM collegato al cluster EKS non avesse le autorizzazioni, l'errore si manifesterebbe a un livello diverso o impedirebbe l'esecuzione dell'applicazione stessa, non solo il recupero dei segreti da parte di un account di servizio specifico. La policy della chiave KMS che non consente al ruolo IAM del cluster EKS di utilizzare la chiave è irrilevante in questo contesto, poiché l'accesso ai segreti avviene tramite il ruolo IAM assunto dall'account di servizio Kubernetes, non direttamente dal ruolo del cluster. Se il ruolo IAM assunto dall'account di servizio Kubernetes non avesse l'autorizzazione per accedere al cluster EKS, l'account di servizio non sarebbe in grado di funzionare all'interno del cluster, il che è diverso dal fallimento nel recupero dei segreti.