amazon-web-services - 向尚不存在的 IAM 角色授予跨账户 Secretsmanager 访问权限

Question

我有两个 AWS 账户:一个保存我的 secret 的账户，一个用于部署我的 cloudformation 堆栈的账户。我正在使用 cloudformation 将基础设施部署为代码，并拥有一个非常简单的 CD 管道:

1. 部署到我的开发堆栈
2. 等待批准
3. 销毁开发堆栈
4. 部署到我的生产堆栈

作为我的堆栈的一部分创建的 EC2 实例在启动期间依赖于 secret 。我想将 secret ARN 添加到我的 EC2 用户数据脚本中，然后在执行用户数据脚本时使用 AWS 命令​​行检索 secret 值。

我的 EC2 实例使用的 IAM 服务角色也是作为我的 cloudformation 脚本的一部分创建的。因此，在堆栈启动之前，IAM 角色 ARN 是未知的。我发现自己陷入了第 22 条陷阱:在授予对我的 secret 的访问权限之前，我无法启动堆栈，但我无法授予对我的 secret 的访问权限，因为资源策略中的主体不接受通配符。

有谁知道我如何能够为我的 secret 创建一个 Secretsmanager 资源策略，并且不需要事先知道 IAM 角色 ARN？或者也许还有其他想法？

Answer 1

在资源策略中指定主体的更好替代方法是使用基于属性的访问控制(ABAC，又名标记)。有一个相当详细的 tutorial 介绍了如何针对 IAM 策略进行此设置，可以针对资源策略进行修改。

在此方法中，您将创建资源策略，授予对其他帐户的访问权限，但仅限于具有给定标签的主体。然后，当您在其他帐户中创建角色时，您可以为它们添加标签以获取它们需要访问的 secret 。例如，只有当标签“access-project”的 key 和访问角色的值相同时，下面的资源策略才会向帐户 123456789012 授予 GetSecretValue:

{
  "Version" : "2012-10-17",
  "Statement" : [ {
    "Effect" : "Allow",
    "Principal": {"AWS": "123456789012" }, 
    "Condition": {
        "StringEquals": {
            "aws:ResourceTag/access-project": "${aws:PrincipalTag/access-project}"
        }
    },
    "Action" : "secretsmanager:GetSecretValue",
    "Resource" : "*"
  } ]
}

将此资源策略添加到 key 后，您还可以将标签“access-project”添加到 key 和用户/角色。请注意，这仅授予 GetSecretValue。让用户修改 secret 或 secret 上的标签可能是一个坏主意，但如果您需要这样做，您还可以包含引用教程中的其他条件。当然，如果您不想为 Secret 添加标签，也可以在资源策略中对标签进行硬编码。

一般来说，这种方法更容易管理，因为您不需要在每次添加或删除用户/角色时不断更新资源策略。您只需添加或删除用户和/或 secret 的标签即可。

执行此操作的另一种方法是向整个账户开放 key ，然后在该账户限制内谁可以通过 IAM 策略访问该 key (可能仍然使用教程中的标签)。跨账户访问需要资源策略授予访问权限和 IAM 用户/角色策略授予访问权限。