AWS Secrets Manager 跨账户

Question

如何通过friendlyName 而不是secretARN 从Secrets manager 跨帐户访问机密？

场景：

• 账户 A 中的 CMK KMS - 为账户 B 附加的密钥策略
• 存储在 AccountA 中的机密 - 添加到 AccountB 的资源策略
• AccountB 中的 EC2，附加了 IAM 角色（secret 和 cmk kms）

观察： 通过调用 --secret-id (ARN) of secrets 来获取秘密细节工作正常，我得到了想要的输出

问题：

aws secretsmanager get-secret-value --secret-id (friendlyName) --region region

通过调用--secret-id (friendlyName) 获取机密详细信息失败并出现错误

<块引用>

调用 GetSecretValue 操作时发生错误 (AccessDeniedException)：用户：arn:aws:sts::111111111:assumed-role/xxxx-xxxx-Role/i-xxxxx is notauthorized to perform:secretsmanager:GetSecretValue on resource ：（友好名称）

Answer 1

ARN 对 Secret 所属的 Account 进行编码，因此如果要实现跨账户访问，则需要使用 ARN。 否则，它会尝试在您的帐户中查找资源。

您还可以在另一个帐户中担任角色，并使用这些凭据使用友好名称，但在这种情况下，您实际上已经在另一个帐户中，不再进行跨帐户访问。