AWS Secrets Manager 跨账户

Question

如何通过友好名称而不是 secretARN 从 Secrets manager 跨帐户访问秘密？

设想：

• AccountA 中的 CMK KMS - 为 AccountB 附加的密钥策略
• 存储在 AccountA 中的机密 - 添加到 AccountB 的资源策略
• 附加了 IAM 角色（秘密和 cmk kms）的 AccountB 中的 EC2

观察：通过调用 --secret-id (ARN) of secrets 获取秘密细节工作正常，我得到所需的 output

问题：

aws secretsmanager get-secret-value --secret-id (friendlyName) --region region

通过调用 --secret-id (friendlyName) of secrets 获取机密详细信息失败并出现错误

调用 GetSecretValue 操作时发生错误 (AccessDeniedException)：用户：arn:aws:sts::111111111:assumed-role/xxxx-xxxx-Role/i-xxxx 无权执行：secretsmanager:GetSecretValue on resource: (friendlyName )

Answer 1

ARN 对 Secret 所属的 Account 进行编码，因此如果要实现跨账户访问，则需要使用 ARN。 否则它将尝试在您的帐户中查找资源。

您还可以在另一个帐户中担任角色并使用这些凭据，您可以使用友好名称，但在这种情况下，您实际上已经在另一个帐户中并且不再进行跨帐户访问。