View a markdown version of this page

Erforderliche IAM-Berechtigungen für Elastic Beanstalk für den Zugriff auf Geheimnisse und Parameter - AWS Elastic Beanstalk
Secrets-Manager-BerechtigungenBerechtigungen für den Systems Manager-Parameterspeicher

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erforderliche IAM-Berechtigungen für Elastic Beanstalk für den Zugriff auf Geheimnisse und Parameter

Sie müssen den EC2-Instances Ihrer Umgebung die erforderlichen Berechtigungen gewähren, um die Geheimnisse und Parameter für einen Parameterspeicher abzurufen. AWS Secrets Manager AWS Systems Manager Berechtigungen werden den EC2-Instances über eine EC2-Instance-Profilrolle gewährt.

In den folgenden Abschnitten sind die spezifischen Berechtigungen aufgeführt, die Sie einem EC2-Instance-Profil hinzufügen müssen, je nachdem, welchen Dienst Sie verwenden. Folgen Sie den Schritten unter Aktualisieren der Berechtigungsrichtlinie für eine Rolle im IAM-Benutzerhandbuch, um diese Berechtigungen hinzuzufügen.

IAM-Berechtigungen für die von ECS verwaltete Docker-Plattform

Für die von ECS verwaltete Docker-Plattform sind zusätzlich zu den in diesem Thema angegebenen IAM-Berechtigungen weitere IAM-Berechtigungen erforderlich. Weitere Informationen zu allen erforderlichen Berechtigungen für Ihre von ECS verwaltete Docker-Plattformumgebung zur Unterstützung der Integration von Elastic Beanstalk-Umgebungsvariablen mit Geheimnissen finden Sie unter. ARN-Format der Ausführungsrolle

Erforderliche IAM-Berechtigungen für Secrets Manager

Die folgenden Berechtigungen gewähren Zugriff auf das Abrufen verschlüsselter Geheimnisse aus dem AWS Secrets Manager Store:

  • Manager für Geheimnisse: GetSecretValue

  • kms:Decrypt

Die Erlaubnis zum Entschlüsseln eines AWS KMS key ist nur erforderlich, wenn Ihr Secret einen vom Kunden verwalteten Schlüssel anstelle des Standardschlüssels verwendet. Durch Hinzufügen Ihres benutzerdefinierten Schlüssel-ARN erhalten Sie die Berechtigung, den vom Kunden verwalteten Schlüssel zu entschlüsseln.

Beispiel Richtlinie mit Secrets Manager- und KMS-Schlüsselberechtigungen
JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:111122223333:secret:my-secret",
                "arn:aws:kms:us-east-1:111122223333:key/my-key"
            ]
        }
    ]
}

Erforderliche IAM-Berechtigungen Systems Manager Parameter Store

Die folgenden Berechtigungen gewähren Zugriff auf das Abrufen verschlüsselter Parameter aus dem AWS Systems Manager Parameterspeicher:

  • ssm: GetParameter

  • kms:Decrypt

Die Berechtigung zum Entschlüsseln eines AWS KMS key ist nur für SecureString Parametertypen erforderlich, die einen vom Kunden verwalteten Schlüssel anstelle eines Standardschlüssels verwenden. Durch Hinzufügen Ihres benutzerdefinierten Schlüssel-ARN erhalten Sie die Berechtigung, den vom Kunden verwalteten Schlüssel zu entschlüsseln. Die regulären Parametertypen, die nicht verschlüsselt sind String und StringList keine benötigen. AWS KMS key

Beispiel Richtlinie mit Systems Manager und AWS KMS wichtige Berechtigungen
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/my-parameter",
                "arn:aws:kms:us-east-1:111122223333:key/my-key"
            ]
        }
    ]
}