Amazon EKS üzerinde çalışan bir uygulama, Secrets Manager'da depolanan gizli kimlik bilgilerine ihtiyaç duymaktadır. Gizli bilgiler, müşteri tarafından yönetilen bir KMS anahtarıyla şifrelenmiştir. Üçüncü taraf bir araç için bir Kubernetes hizmet hesabı, Secrets Manager'a erişmek üzere oluşturulmuş bir IAM rolünü üstlenerek uygulamalara gizli bilgileri sağlar. Hizmet hesabı, gizli bilgileri almaya çalışırken 403 Forbidden hatası almaktadır. Bunun temel nedeni nedir?

Uygulama, Secrets Manager'daki gizli bilgilere erişmeye çalışırken 403 Forbidden hatası alıyor çünkü gizli bilgiler müşteri tarafından yönetilen bir KMS anahtarıyla şifrelenmiş durumda. Kubernetes hizmet hesabı tarafından üstlenilen IAM rolünün Secrets Manager'dan gizli bilgileri başarıyla alabilmesi için, bu rolün aynı zamanda gizli bilgileri şifreleyen KMS anahtarını kullanma iznine sahip olması gerekir. KMS anahtar politikasında bu iznin eksik olması, rolün şifrelenmiş gizli bilgilere erişmesini engeller. Diğer seçenekler neden yanlış: EKS kümesine bağlı IAM rolünün Secrets Manager'dan gizli bilgileri alma izinleri eksik olsaydı, doğrudan Secrets Manager'a erişim başarısız olurdu ancak burada sorun KMS anahtarı ile ilgili. KMS müşteri tarafından yönetilen anahtarın anahtar politikası, EKS kümesi IAM rolünün anahtarı kullanmasına izin vermiyor olsaydı, EKS kümesi genelinde KMS ile ilgili sorunlar yaşanırdı, ancak sorun belirli bir hizmet hesabının gizli bilgilere erişimiyle ilgili. Kubernetes hizmet hesabı tarafından üstlenilen IAM rolünün EKS kümesine erişim izni olmaması, uygulamanın EKS üzerinde çalışmasını veya hizmet hesabının IAM rolünü üstlenmesini etkileyebilir, ancak doğrudan Secrets Manager'dan gizli bilgileri alma hatasının nedeni değildir.