アカウント A のアプリケーションが、アカウント B の KMS キーで暗号化された Secrets Manager シークレットを取得する必要があります。アプリケーションのロールには、すでにアカウント B の Secrets Manager 権限があります。アカウント A のロールが最小限の特権でアカウント B の KMS キーを使用できるようにするには、どの KMS 権限をキーポリシーに追加する必要がありますか？

アカウントAのアプリケーションがアカウントBのKMSキーで暗号化されたSecrets Managerシークレットを取得するには、KMSキーに対する復号権限が必要です。kms:Decryptは、暗号化されたデータを復号するために不可欠な権限です。また、KMSキーのメタデータを取得するためにkms:DescribeKeyも必要となる場合があります。 誤った選択肢: secretsmanager:DescribeSecretおよびsecretsmanager:GetSecretValue：これらはSecrets Managerの権限であり、設問で既に付与されていると述べられています。KMSキーのアクセスには関係ありません。 kms:：これはKMSキーに対するすべての権限を付与するため、最小限の特権の原則に反します。 secretsmanager:：これもSecrets Managerに対するすべての権限を付与するため、KMSキーのアクセスには関係なく、最小限の特権の原則に反します。