Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Resolución de problemas AWS Secrets Manager

Utilice la información que se indica aquí para diagnosticar y solucionar los problemas que puedan surgir cuando trabaje con Secrets Manager.

Para conocer los problemas relacionados con la rotación, consulte Solucionar problemas AWS Secrets Manager rotación.

Mensajes de acceso denegado

Cuando realizas una llamada a la API, como GetSecretValue o CreateSecret a Secrets Manager, debes tener permisos de IAM para realizar esa llamada. Cuando utiliza la consola, esta realiza las mismas llamadas a la API en su nombre, por lo que también debe tener permisos de IAM. Un administrador puede conceder permisos asociando una política de IAM a su usuario de IAM o a un grupo del que sea miembro. Si las instrucciones de la política que conceden esos permisos incluyen alguna condición, como la hora del día o restricciones de direcciones IP, también debe cumplir esos requisitos cuando envíe la solicitud. Para obtener más información sobre cómo consultar o modificar políticas para un usuario, grupo o rol de IAM, consulte Trabajar con políticas en la Guía del usuario de IAM. Para obtener más información sobre los permisos necesarios para Secrets Manager, consulte Autenticación y control de acceso para AWS Secrets Manager.

Si va a firmar las solicitudes a la API manualmente, sin usar los SDK de AWS, compruebe que haya firmado la solicitud correctamente.

“Acceso denegado” para credenciales de seguridad temporales

Compruebe que el usuario o rol de IAM que está utilizando para realizar la solicitud tiene los permisos adecuados. Los permisos de credenciales de seguridad temporales se obtienen de un usuario o un rol de IAM. Esto significa que los permisos están limitados a los que se conceden al usuario o al rol de IAM. Para obtener más información sobre cómo se determinan los permisos de las credenciales de seguridad temporales, consulte Controlar los permisos para credenciales de seguridad tempolrales en la Guía del usuario de IAM.

Compruebe que las solicitudes se han firmado correctamente y que la solicitud tiene el formato correcto. Para obtener más información, consulta la documentación del kit de herramientas del SDK que elijas o Cómo usar credenciales de seguridad temporales para solicitar acceso a AWS los recursos en la Guía del usuario de IAM.

Compruebe que sus credenciales de seguridad temporales no hayan caducado. Para obtener más información, consulte Solicitud de credenciales de seguridad temporales en la Guía del usuario de IAM.

Para obtener más información sobre los permisos necesarios para Secrets Manager, consulte Autenticación y control de acceso para AWS Secrets Manager.

Los cambios que realizo no están siempre visibles inmediatamente.

Secrets Manager utiliza un modelo de computación distribuida denominado coherencia final. Cualquier cambio que realices en Secrets Manager (u otros AWS servicios) tarda en ser visible desde todos los puntos de conexión posibles. Este retraso se debe en parte al tiempo que se tarda en enviar los datos de un servidor a otro, de una zona de replicación a otra y entre regiones de todo el mundo. Secrets Manager también utiliza la caché para mejorar el rendimiento, pero en algunos casos esto puede agregar tiempo. Es posible que el cambio no sea visible hasta que se agoten los datos previamente almacenados.

Diseñe sus aplicaciones globales teniendo en cuenta estos posibles retrasos. Además, asegúrese de que funcionan según lo previsto, incluso cuando un cambio realizado en una ubicación no sea visible inmediatamente en otra.

Para obtener más información sobre cómo afecta a otros AWS servicios la posible coherencia, consulte:

Errores de «conexión restablecida por un par»

Cuando llamas a Secrets Manager, es posible que recibas ocasionalmente un restablecimiento de la conexión debido a un error de un compañero. Esto ocurre cuando el servidor cierra una conexión TCP que el cliente está utilizando o intentando utilizar. Para gestionar la capacidad y mantener la disponibilidad, AWS los servicios, incluido Secrets Manager, pueden cerrar las conexiones en cualquier momento.

Esto suele afectar a las conexiones inactivas que se mantienen activas y que la aplicación reutiliza, pero también puede afectar a las conexiones recién establecidas. Los reinicios ocasionales son una parte normal de la administración del ciclo de vida de las conexiones. No indican ningún problema con tu secreto o tu cuenta.

AWS Los SDK administran un grupo de conexiones y vuelven a intentar detectar estos errores en una nueva conexión de forma predeterminada, por lo que normalmente no es necesario realizar ninguna acción. Si encuentras estos errores, haz lo siguiente:

Si estos errores persisten durante un período prolongado, es probable que la causa no sea el ciclo de conexión rutinario. Para identificar la causa, consulta el AWS Health Dashboard para ver los eventos de Secrets Manager en tu AWS región. Compruebe también la ruta de la red al punto final del servicio, incluida cualquier configuración de punto final, proxy, firewall o DNS de la VPC. Si el problema persiste, ponte en contacto con AWS Support.

«No se puede generar una clave de datos con una clave KMS asimétrica» al crear un secreto

Secrets Manager utiliza una clave KMS de cifrado simétrica asociada con un secreto para generar una clave de datos para cada valor de secreto. No puede utilizar una clave KMS asimétrica. Compruebe que está utilizando una clave KMS de cifrado simétrica en lugar de una clave KMS asimétrica. Para obtener instrucciones, consulte Identificar clave KMS simétricas y asimétricas.

Un registro AWS CLI o AWS La operación del SDK no puede encontrar mi secreto en un ARN parcial

En muchos casos, Secrets Manager puede encontrar un secreto utilizando parte de un ARN en lugar del ARN completo. No obstante, si el nombre de su secreto termina en un guion seguido de seis caracteres, es posible que Secrets Manager no pueda encontrar el secreto solo con parte de un ARN. En lugar de ello, recomendamos que utilice el ARN completo o el nombre del secreto.

Más información

Secrets Manager incluye seis caracteres de asignación al azar al final del nombre del secreto para garantizar que el ARN del secreto sea único. Si se elimina el secreto original y, a continuación, se crea un secreto nuevo con el mismo nombre, ambos tendrán ARN diferentes debido a estos caracteres. Los usuarios con acceso al secreto anterior no tienen acceso automático al secreto nuevo porque los ARN son diferentes.

Secrets Manager crea un ARN para un secreto con la región, la cuenta, el nombre del secreto y, a continuación, un guion y seis caracteres más, de la siguiente manera:

arn:aws:secretsmanager:us-east-2:111122223333:secret:SecretName-abcdef

Si el nombre del secreto termina con un guion y seis caracteres, y se utiliza solo una parte del ARN, a Secrets Manager le puede parecer que se está especificando un ARN completo. Por ejemplo, es posible que tenga un secreto denominado MySecret-abcdef con el ARN

arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef-nutBrk

Si llama a la siguiente operación, que solo utiliza parte del ARN del secreto, es posible que Secrets Manager no encuentre el secreto.

$ aws secretsmanager describe-secret --secret-id arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef

Este secreto lo gestiona un AWS servicio, y debe usar ese servicio para actualizarlo.

Si aparece este mensaje al intentar modificar un secreto, el secreto solo se puede actualizar mediante el servicio de administración que aparece en el mensaje. Para obtener más información, consulte AWS Secrets Manager secretos gestionados por otros AWS servicios.

Para determinar quién administra un secreto, puede revisar el nombre del secreto. Los secretos gestionados por otros servicios llevan el prefijo ID de ese servicio. O bien, en el campo AWS CLI, llama a describe-secret y, a continuación, revisa el campo. OwningService

La importación del módulo Python falla al usar Transform: AWS::SecretsManager -2024-09-16

Si está utilizando Transform: AWS::SecretsManager-2024-09-16 y encuentra errores de importación del módulo Python cuando se ejecuta la función de Lambda de rotación, es probable que el problema se deba a un valor de Runtime incompatible. Con esta versión de transformación, AWS CloudFormation administra automáticamente la versión en tiempo de ejecución, así como el código y los archivos de objetos compartidos. No es necesario que las administre personalmente.