Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung AWS Secrets Manager

Verwenden Sie die hier aufgeführten Informationen, um Probleme zu diagnostizieren und zu beheben, die beim Arbeiten mit dem Secrets Manager auftreten können.

Informationen zu Problemen im Zusammenhang mit der Drehung finden Sie unter Fehlerbehebung AWS Secrets Manager Drehung.

Meldungen „Zugriff verweigert“

Wenn Sie einen API-Aufruf wie GetSecretValue oder CreateSecret an Secrets Manager tätigen, benötigen Sie IAM-Berechtigungen, um diesen Aufruf tätigen zu können. Wenn Sie die Konsole verwenden, führt die Konsole dieselben API-Aufrufe in Ihrem Namen durch, sodass Sie auch über IAM-Berechtigungen verfügen müssen. Ein Administrator kann Berechtigungen gewähren, indem er Ihrem IAM-Benutzer oder einer Gruppe, der Sie angehören, eine IAM-Richtlinie anhängt. Wenn die Richtlinienanweisungen, die diese Berechtigungen gewähren, Bedingungen enthalten, z. B. Einschränkungen der Tageszeit oder der IP-Adressen, müssen Sie diese Anforderungen erfüllen, wenn Sie die Anfrage senden. Weitere Informationen zum Anzeigen oder Ändern von Richtlinien für einen IAM-Benutzer, eine IAM-Gruppe oder eine IAM-Rolle finden Sie unter Arbeiten mit Richtlinien im IAM-Benutzerhandbuch. Informationen zu den für Secrets Manager erforderlichen Berechtigungen finden Sie unter Authentifizierung und Zugriffskontrolle für AWS Secrets Manager.

Wenn Sie API-Anfragen manuell ohne Verwendung der AWS -SDKs signieren, überprüfen Sie, ob Sie die Anforderung korrekt signiert haben.

„Access denied“ (Zugriff verweigert) für temporäre Sicherheitsanmeldeinformationen

Stellen Sie sicher, dass der IAM-Benutzer oder die IAM-Rolle, die Sie zum Erstellen der Anforderung verwenden, über die entsprechenden Berechtigungen verfügt. Berechtigungen für temporäre Sicherheitsanmeldeinformationen werden von einem IAM-Benutzer oder einer IAM-Rolle abgeleitet. Dies bedeutet, dass sich die Berechtigungen auf diejenigen beschränken, die dem IAM-Benutzer oder der IAM-Rolle erteilt wurden. Weitere Informationen über die Berechtigungen für temporäre Sicherheitsanmeldeinformationen finden Sie unter Kontrolle von Berechtigungen für temporäre Sicherheitsanmeldeinformationen im IAM-Benutzerhandbuch.

Stellen Sie sicher, dass Ihre Anfragen korrekt signiert sind und die Anfrage richtig aufgebaut ist. Einzelheiten finden Sie in der Toolkit-Dokumentation für das von Ihnen gewählte SDK oder unter Verwenden temporärer Sicherheitsanmeldedaten zur Anforderung des Zugriffs auf AWS Ressourcen im IAM-Benutzerhandbuch.

Stellen Sie sicher, dass die temporären Sicherheitsanmeldeinformationen nicht abgelaufen sind. Weitere Informationen finden Sie unter Anfordern von temporären Sicherheitsanmeldeinformationen im IAM-Benutzerhandbuch.

Informationen zu den für Secrets Manager erforderlichen Berechtigungen finden Sie unter Authentifizierung und Zugriffskontrolle für AWS Secrets Manager.

Änderungen, die ich vornehme, sind nicht immer direkt sichtbar.

Secrets Manager verwendet ein verteiltes Computing-Modell namens letztendliche Konsistenz. Jede Änderung, die Sie in Secrets Manager (oder anderen AWS Diensten) vornehmen, dauert einige Zeit, bis sie von allen möglichen Endpunkten aus sichtbar wird. Die Verzögerung ergibt sich teilweise aus der Zeit, die erforderlich ist, um die Daten von Server zu Server, von Replikationszone zu Replikationszone und von einer Region der Welt in eine andere zu senden. Secrets Manager verwendet darüber hinaus Zwischenspeicherungen zur Verbesserung der Leistung, doch in einigen Fällen kann dies Zeit erfordern. Die Änderung ist möglicherweise erst sichtbar, wenn die Zeit für die vorher zwischengespeicherten Daten abgelaufen ist.

Entwickeln Sie Ihre globalen Anwendungen unter Berücksichtigung dieser potenziellen Verzögerungen. Stellen Sie darüber hinaus sicher, dass sie wie erwartet funktionieren, und zwar auch dann, wenn eine Änderung an einem Speicherort nicht sofort an einem anderen sichtbar ist.

Weitere Informationen darüber, wie sich die eventuelle Konsistenz auf einige andere AWS Dienste auswirkt, finden Sie unter:

Fehler beim Zurücksetzen der Verbindung durch Peer

Wenn Sie Secrets Manager aufrufen, kann es gelegentlich vorkommen, dass die Verbindung aufgrund eines Peer-Fehlers zurückgesetzt wird. Dies passiert, wenn der Server eine TCP-Verbindung schließt, die Ihr Client verwendet oder zu verwenden versucht. Um die Kapazität zu verwalten und die Verfügbarkeit aufrechtzuerhalten, können AWS Dienste, einschließlich Secrets Manager, Verbindungen jederzeit schließen.

Dies betrifft am häufigsten inaktive Keep-Alive-Verbindungen, die Ihre Anwendung wiederverwendet, kann sich aber auch auf neu eingerichtete Verbindungen auswirken. Gelegentliche Resets sind ein normaler Bestandteil der Verwaltung des Verbindungslebenszyklus. Sie deuten nicht auf ein Problem mit Ihrem Geheimnis oder Ihrem Konto hin.

Die AWS SDKs verwalten einen Verbindungspool und wiederholen diese Fehler standardmäßig bei einer neuen Verbindung, sodass Sie normalerweise keine Maßnahmen ergreifen müssen. Wenn Sie auf diese Fehler stoßen, gehen Sie wie folgt vor:

Wenn diese Fehler über einen längeren Zeitraum andauern, liegt die Ursache wahrscheinlich nicht in einem routinemäßigen Verbindungswechsel. Um die Ursache zu ermitteln, suchen Sie im AWS Health Dashboard nach Secrets Manager Manager-Ereignissen in Ihrer AWS Region. Überprüfen Sie außerdem Ihren Netzwerkpfad zum Service-Endpunkt, einschließlich aller VPC-Endpunkt-, Proxy-, Firewall- oder DNS-Konfigurationen. Wenn das Problem weiterhin besteht, wenden Sie sich an den AWS Support.

„Es kann kein Datenschlüssel mit einem asymmetrischen KMS-Schlüssel generiert werden“, wenn ein Geheimnis erstellt wird

Secrets Manager verwendet einen symmetrischen KMS-Verschlüsselungsschlüssel, der einem Secret zugeordnet ist, um einen Datenschlüssel für jeden Secret-Wert zu erzeugen. Sie können keinen asymmetrischen KMS-Schlüssel verwenden. Überprüfen Sie, ob Sie einen symmetrischen KMS-Verschlüsselungsschlüssel anstelle eines asymmetrischen KMS-Schlüssels verwenden. Detaillierte Anweisungen finden Sie unter Identifizieren asymmetrischer KMS-Schlüssel.

Importieren in &S3; AWS CLI oder AWS Der SDK-Vorgang kann mein Geheimnis aus einem partiellen ARN nicht finden

In vielen Fällen kann Secrets Manager Ihr Geheimnis aus einem Teil eines ARN und nicht aus dem vollständigen ARN finden. Wenn der Name Ihres Geheimnisses jedoch mit einem Bindestrich gefolgt von sechs Zeichen endet, kann Secrets Manager das Geheimnis möglicherweise nicht nur aus einem Teil eines ARN finden. Stattdessen empfehlen wir Ihnen, den vollständigen ARN oder den Namen des Secrets zu verwenden.

Weitere Details

Secrets Manager enthält sechs zufällige Zeichen am Ende des Secret-Namens, um sicherzustellen, dass der Secret-ARN einzigartig ist. Wenn das ursprüngliche Secret gelöscht und anschließend ein neues Secret mit demselben Namen erstellt wird, haben die beiden Secrets aufgrund dieser Zeichen unterschiedliche ARNs. Benutzer mit Zugriff auf das alte Secret erhalten nicht automatisch Zugriff auf das neue Secret, da die ARNs unterschiedlich sind.

Secrets Manager erstellt einen ARN für ein Geheimnis mit Region, Konto, geheimen Namen und dann einem Bindestrich und sechs weiteren Zeichen wie folgt:

arn:aws:secretsmanager:us-east-2:111122223333:secret:SecretName-abcdef

Wenn Ihr geheimer Name mit einem Bindestrich und sechs Zeichen endet, kann Secrets Manager nur einen Teil des ARN verwenden, als würden Sie einen vollständigen ARN angeben. Zum Beispiel könnten Sie ein Geheimnis namens MySecret-abcdef mit dem ARN haben

arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef-nutBrk

Wenn Sie den folgenden Vorgang aufrufen, der nur einen Teil des geheimen ARN verwendet, findet Secrets Manager das Geheimnis möglicherweise nicht.

$ aws secretsmanager describe-secret --secret-id arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef

Dieses Geheimnis wird von einem verwaltet AWS Dienst, und Sie müssen diesen Dienst verwenden, um ihn zu aktualisieren.

Wenn Sie beim Versuch, ein Geheimnis zu ändern, auf diese Meldung stoßen, kann das Geheimnis nur mithilfe des in der Meldung aufgeführten Verwaltungsservices aktualisiert werden. Weitere Informationen finden Sie unter AWS Secrets Manager Geheimnisse, die von anderen AWS Diensten verwaltet werden.

Um festzustellen, wer ein Geheimnis verwaltet, können Sie den Namen des Geheimnisses überprüfen. Bei Geheimnissen, die von anderen Services verwaltet werden, wird die ID des jeweiligen Services vorangestellt. Oder rufen Sie im AWS CLIdescribe-secret auf und überprüfen Sie dann das Feld. OwningService

Der Import des Python-Moduls schlägt fehl, wenn Transform verwendet wird: AWS::SecretsManager -2024-09-16

Wenn Sie Transform: verwenden AWS::SecretsManager-2024-09-16 und bei der Ausführung Ihrer Rotations-Lambda-Funktion auf Fehler beim Import des Python-Moduls stoßen, wird das Problem wahrscheinlich durch einen inkompatiblen Runtime Wert verursacht. Mit dieser Transform-Version werden die Laufzeitversion, der Code und die gemeinsam genutzten Objektdateien für Sie AWS CloudFormation verwaltet. Sie müssen diese nicht selbst verwalten.