Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pemecahan masalah AWS Secrets Manager

Gunakan informasi di sini untuk membantu Anda mendiagnosis dan memperbaiki masalah yang mungkin Anda temui saat bekerja dengan Secrets Manager.

Untuk masalah yang terkait dengan rotasi, lihatPemecahan Masalah AWS Secrets Manager rotasi.

Pesan “Akses ditolak”

Saat melakukan panggilan API seperti GetSecretValue atau CreateSecret ke Secrets Manager, Anda harus memiliki izin IAM untuk melakukan panggilan tersebut. Saat Anda menggunakan konsol, konsol melakukan panggilan API yang sama atas nama Anda, jadi Anda juga harus memiliki izin IAM. Administrator dapat memberikan izin dengan melampirkan kebijakan IAM ke pengguna IAM Anda, atau ke grup tempat Anda menjadi anggota. Jika pernyataan kebijakan yang memberikan izin tersebut menyertakan syarat apapun, seperti batas waktu hari atau alamat IP, maka Anda juga harus memenuhi persyaratan tersebut ketika Anda mengirim permintaan. Untuk informasi tentang melihat atau mengubah kebijakan untuk pengguna, grup, atau peran IAM, lihat Bekerja dengan Kebijakan dalam Panduan Pengguna IAM. Untuk informasi tentang izin yang diperlukan untuk Secrets Manager, lihatOtentikasi dan kontrol akses untuk AWS Secrets Manager.

Jika Anda menandatangani permintaan API secara manual, tanpa menggunakan AWS SDK, verifikasi bahwa Anda menandatangani permintaan dengan benar.

“Akses ditolak” untuk kredensil keamanan sementara

Verifikasi pengguna IAM atau peran yang Anda gunakan untuk membuat permintaan memiliki izin yang benar. Izin untuk kredensil keamanan sementara berasal dari pengguna atau peran IAM. Ini berarti izin terbatas pada yang diberikan kepada pengguna atau peran IAM. Untuk informasi lebih lanjut tentang bagaiman izin kredensial keamanan sementara ditentukan, lihat Mengontrol Izin untuk Kredensial Keamanan Sementara dalam Panduan Pengguna IAM.

Verifikasi bahwa permintaan Anda ditandatangani dengan benar dan permintaan tersebut terbentuk dengan baik. Untuk detailnya, lihat dokumentasi toolkit untuk SDK yang Anda pilih, atau Menggunakan Kredensial Keamanan Sementara untuk Meminta Akses ke AWS Sumber Daya di Panduan Pengguna IAM.

Verifikasikan bahwa kredensial keamanan sementara Anda belum kedaluwarsa. Untuk informasi lebih lanjut, lihat Meminta Kredensial Keamanan Sementara dalam Panduan Pengguna IAM.

Untuk informasi tentang izin yang diperlukan untuk Secrets Manager, lihatOtentikasi dan kontrol akses untuk AWS Secrets Manager.

Perubahan yang saya buat tidak selalu langsung terlihat.

Secrets Manager menggunakan model komputasi terdistribusi yang disebut konsistensi akhirnya. Setiap perubahan yang Anda buat di Secrets Manager (atau AWS layanan lainnya) membutuhkan waktu untuk terlihat dari semua titik akhir yang mungkin. Beberapa hasil penundaan dari waktu yang diperlukan untuk mengirim data dari server ke server, dari zona replikasi ke zona replikasi, dan dari wilayah ke wilayah di seluruh dunia. Secrets Manager juga menggunakan caching untuk meningkatkan kinerja, tetapi dalam beberapa kasus ini dapat menambah waktu. Perubahan mungkin tidak terlihat sampai waktu data yang disimpan di-cache sebelumnya habis.

Rancang aplikasi global Anda untuk memperhitungkan potensi penundaan ini. Juga, pastikan bahwa mereka bekerja seperti yang diharapkan, bahkan ketika perubahan yang dibuat di satu lokasi tidak langsung terlihat di lokasi lain.

Untuk informasi selengkapnya tentang bagaimana beberapa AWS layanan lain dipengaruhi oleh konsistensi akhirnya, lihat:

Kesalahan “Koneksi diatur ulang oleh rekan”

Saat Anda memanggil Secrets Manager, Anda mungkin sesekali menerima koneksi yang disetel ulang oleh kesalahan rekan. Ini terjadi ketika server menutup koneksi TCP yang klien Anda gunakan atau coba gunakan. Untuk mengelola kapasitas dan menjaga ketersediaan, AWS layanan, termasuk Secrets Manager, dapat menutup koneksi kapan saja.

Ini paling sering memengaruhi koneksi keep-alive idle yang digunakan kembali aplikasi Anda, tetapi juga dapat memengaruhi koneksi yang baru dibuat. Reset sesekali adalah bagian normal dari manajemen siklus hidup koneksi. Mereka tidak menunjukkan masalah dengan rahasia Anda atau akun Anda.

AWS SDK mengelola kumpulan koneksi dan mencoba lagi kesalahan ini pada koneksi baru secara default, sehingga Anda biasanya tidak perlu mengambil tindakan apa pun. Jika Anda mengalami kesalahan ini, lakukan hal berikut:

Jika kesalahan ini bertahan selama periode yang berkelanjutan, penyebabnya kemungkinan adalah sesuatu selain siklus koneksi rutin. Untuk mengidentifikasi penyebabnya, periksa Dasbor AWS Kesehatan untuk acara Secrets Manager di AWS Wilayah Anda. Juga verifikasi jalur jaringan Anda ke titik akhir layanan, termasuk titik akhir VPC, proxy, firewall, atau konfigurasi DNS apa pun. Jika masalah berlanjut, hubungi AWS Support.

“Tidak dapat menghasilkan kunci data dengan kunci KMS asimetris” saat membuat rahasia

Secrets Manager menggunakan kunci KMS enkripsi simetris yang terkait dengan rahasia untuk menghasilkan kunci data untuk setiap nilai rahasia. Anda tidak dapat menggunakan tombol KMS asimetris. Verifikasi Anda menggunakan kunci KMS enkripsi simetris alih-alih kunci KMS asimetris. Untuk petunjuk, lihat Mengidentifikasi kunci KMS asimetris.

Sesi AWS CLI atau AWS Operasi SDK tidak dapat menemukan rahasia saya dari ARN sebagian

Dalam banyak kasus, Secrets Manager dapat menemukan rahasia Anda dari bagian ARN daripada ARN penuh. Namun, jika nama rahasia Anda berakhir dengan tanda hubung diikuti oleh enam karakter, Secrets Manager mungkin tidak dapat menemukan rahasia hanya dari sebagian ARN. Sebagai gantinya, kami sarankan Anda menggunakan ARN lengkap atau nama rahasianya.

Detail lebih lanjut

Secrets Manager mencakup enam karakter acak di akhir nama rahasia untuk membantu memastikan bahwa ARN rahasia itu unik. Jika rahasia asli dihapus, dan kemudian rahasia baru dibuat dengan nama yang sama, kedua rahasia memiliki ARN yang berbeda karena karakter ini. Pengguna dengan akses ke rahasia lama tidak secara otomatis mendapatkan akses ke rahasia baru karena ARN berbeda.

Secrets Manager membangun ARN untuk rahasia dengan Region, akun, nama rahasia, dan kemudian tanda hubung dan enam karakter lagi, sebagai berikut:

arn:aws:secretsmanager:us-east-2:111122223333:secret:SecretName-abcdef

Jika nama rahasia Anda diakhiri dengan tanda hubung dan enam karakter, hanya menggunakan sebagian dari ARN dapat muncul ke Secrets Manager seolah-olah Anda menentukan ARN lengkap. Misalnya, Anda mungkin memiliki rahasia bernama MySecret-abcdef ARN

arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef-nutBrk

Jika Anda memanggil operasi berikut, yang hanya menggunakan bagian dari ARN rahasia, maka Secrets Manager mungkin tidak menemukan rahasianya.

$ aws secretsmanager describe-secret --secret-id arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef

Rahasia ini dikelola oleh AWS layanan, dan Anda harus menggunakan layanan itu untuk memperbaruinya.

Jika Anda menemukan pesan ini saat mencoba memodifikasi rahasia, rahasia hanya dapat diperbarui dengan menggunakan layanan pengelolaan yang tercantum dalam pesan. Untuk informasi selengkapnya, lihat AWS Secrets Manager rahasia yang dikelola oleh AWS layanan lain.

Untuk menentukan siapa yang mengelola rahasia, Anda dapat meninjau nama rahasia. Rahasia yang dikelola oleh layanan lain diawali dengan ID layanan tersebut. Atau, di AWS CLI, panggil deskripsikan-rahasia, dan kemudian tinjau bidangnya. OwningService

Impor modul Python gagal saat menggunakan Transform: -2024-09-16 AWS::SecretsManager

Jika Anda menggunakan Transform: AWS::SecretsManager-2024-09-16 dan mengalami kegagalan impor modul Python saat fungsi Lambda rotasi Anda berjalan, masalah kemungkinan disebabkan oleh nilai yang tidak kompatibel. Runtime Dengan versi transformasi ini, AWS CloudFormation mengelola versi runtime, kode, dan file objek bersama untuk Anda. Anda tidak perlu mengelolanya sendiri.