如何限制聯合用戶查看秘密管理器的秘密？

Question

我想限制 iam 用戶和聯合用戶都無法從秘密管理器中看到某個秘密。 對於 iam 用戶，我創建了此策略：

policy={
        "Version": "2012-10-17",
        "Statement": [{
            "Effect": "Deny",
            "NotPrincipal": {
                "AWS": [
                 f"arn:aws:iam::123831926524:user/{username}",
                "arn:aws:iam::123831926524:root"
            ]},
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*"
                    }]} 

但是對於聯合用戶，我不知道如何限制他們。

Answer 1

只需通過指定resource base policy來指定誰能夠（單獨）使用密鑰。 https://docs.aws.amazon.com/secretsmanager/latest/userguide/auth-and-access_resource-policies.html