Een applicatie in Account A moet een Secrets Manager secret ophalen dat is versleuteld met een KMS-sleutel in Account B. De rol van de applicatie heeft al Secrets Manager-machtigingen in Account B. Welke KMS-machtigingen moeten aan het sleutelbeleid worden toegevoegd om de rol in Account A de KMS-sleutel in Account B met minimale privileges te laten gebruiken?

Om een Secrets Manager secret te ontsleutelen dat is versleuteld met een KMS-sleutel in een ander account (cross-account), heeft de applicatierol in Account A de kms:Decrypt machtiging nodig op de KMS-sleutel in Account B. De kms:DescribeKey machtiging is ook nodig om de metadata van de sleutel te kunnen opvragen, wat vaak een vereiste is voor het gebruik van de sleutel. Deze combinatie biedt minimale privileges. De opties met secretsmanager: of secretsmanager:DescribeSecret en secretsmanager:GetSecretValue zijn onjuist omdat deze betrekking hebben op Secrets Manager-machtigingen, niet op KMS-machtigingen. De optie kms: is te breed en voldoet niet aan het principe van minimale privileges.