Orion Retail, veritabanı kimlik bilgilerini B Hesabındaki AWS Secrets Manager'da, B Hesabındaki müşteri tarafından yönetilen bir KMS anahtarıyla şifrelenmiş olarak saklar. A Hesabında çalışan bir mikroservisin (rol: arn:aws:iam::111111111111:role/OrdersAppRole) bu sırra salt okunur erişimi olması gerekmektedir. Ekip, role sırrın ARN'si üzerinde secretsmanager:GetSecretValue'a izin veren bir IAM politikası ekledi ancak KMS'ten hala AccessDenied hataları alıyor. Güvenlik ekibi, en az ayrıcalıklı hesaplar arası erişimi sağlamak için ne yapmalıdır?

Doğru cevap, en az ayrıcalıklı hesaplar arası erişimi sağlamak için hem Secrets Manager sırrına hem de KMS anahtarına politika eklemeyi gerektirir. A Hesabındaki OrdersAppRole'un B Hesabındaki sırra erişebilmesi için, Secrets Manager sırrına kaynak tabanlı bir politika eklenerek bu role secretsmanager:GetSecretValue izni verilmelidir. Ayrıca, sırrın şifresini çözmek için kullanılan KMS anahtarının politikası da güncellenmeli ve OrdersAppRole'a kms:Decrypt izni verilmelidir. Bu iki politika birleşimi, rolün sırrı alıp şifresini çözmesine olanak tanır. Diğer seçenekler neden yanlış: Sırrı A Hesabına kopyalamak, sırrı birden fazla yerde tutarak güvenlik riskini artırır ve merkezi yönetimi bozar. VPC arayüz uç noktaları oluşturmak, ağ erişimini kontrol eder ancak IAM izin sorununu çözmez. Yalnızca OrdersAppRole IAM politikasını güncellemek yeterli değildir çünkü Secrets Manager sırrı ve KMS anahtarı da kendi kaynak tabanlı politikalarıyla erişimi açıkça yetkilendirmelidir. IAM politikaları izinleri verirken, kaynak politikaları bu izinleri kabul etmelidir.