Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione dei problemi AWS Secrets Manager

Utilizza le informazioni contenute in questa pagina per diagnosticare e risolvere i problemi che possono verificarsi durante l'utilizzo di ruoli con Secrets Manager.

Per i problemi relativi alla rotazione, consulta Risoluzione dei problemi AWS Secrets Manager rotazione.

Messaggi di «Accesso negato»

Quando effettui una chiamata API come GetSecretValue o CreateSecret verso Secrets Manager, devi disporre delle autorizzazioni IAM per effettuare quella chiamata. Quando usi la console, la console effettua le stesse chiamate API per tuo conto, quindi devi disporre anche delle autorizzazioni IAM. Un amministratore può concedere le autorizzazioni allegando una policy IAM al tuo utente IAM o a un gruppo di cui sei membro. Se le dichiarazioni di policy che concedono tali autorizzazioni includono eventuali condizioni, ad esempio limitazioni relative a indirizzo IP o ora del giorno, sarà inoltre necessario che tali requisiti siano soddisfatti, quando invii la richiesta. Per informazioni sulla visualizzazione o sulla modifica delle policy per un ruolo, un gruppo o un utente IAM, consulta Lavorare con le policy nella Guida per l'utente di IAM. Per informazioni sulle autorizzazioni richieste per Secrets Manager, consulta Autenticazione e controllo degli accessi per AWS Secrets Manager.

Se firmi manualmente le richieste API, senza utilizzare gli AWS SDK, verifica di aver firmato la richiesta correttamente.

“Accesso negato” per le credenziali di sicurezza temporanee

Verifica che l'utente o il ruolo IAM utilizzato per effettuare la richiesta disponga delle autorizzazioni corrette. Autorizzazioni per credenziali di sicurezza temporanee derivano da un utente o ruolo IAM. Questo significa che le autorizzazioni sono limitate a quelle concesse al ruolo o all'utente IAM. Per ulteriori informazioni su come sono determinate le autorizzazioni per le credenziali di sicurezza provvisorie, consulta controllo delle autorizzazioni per le credenziali di sicurezza provvisorie nella Guida IAM per lo sviluppatore.

Verifica che le richieste vengano firmate correttamente e che il formato della richiesta sia valido. Per i dettagli, consulta la documentazione del toolkit per l'SDK scelto o Using Temporary Security Credentials to Request Access to AWS Resources nella IAM User Guide.

Verifica che le credenziali di sicurezza provvisorie non siano scadute. Per ulteriori informazioni, consulta Richiesta di credenziali di sicurezza provvisorie nella Guida per l'utente di IAM.

Per informazioni sulle autorizzazioni richieste per Secrets Manager, consulta Autenticazione e controllo degli accessi per AWS Secrets Manager.

Le modifiche apportate non sono sempre immediatamente visibili.

Secrets Manager utilizza un modello di calcolo distribuito chiamato consistenza finale. Qualsiasi modifica apportata in Secrets Manager (o in altri AWS servizi) richiede tempo per diventare visibile da tutti gli endpoint possibili. Alcuni dei ritardi sono dovuti al tempo necessario per inviare i dati da un server a un altro, da una zona di replica a un'altra e da una regione a un'altra nel mondo. Secrets Manager utilizza inoltre la memorizzazione nella cache per migliorare le prestazioni, è possibile che ciò aumenti il tempo. in quanto la modifica potrebbe risultare visibile solo dopo il timeout dei dati memorizzati nella cache.

Progetta le tue applicazioni globali in modo da considerare questi potenziali ritardi e assicurati che funzionino come previsto, anche quando una modifica apportata in una posizione non è immediatamente visibile in un'altra.

Per ulteriori informazioni su come alcuni altri AWS servizi sono influenzati dall'eventuale coerenza, consulta:

Errori relativi alla «reimpostazione della connessione da parte del peer»

Quando chiami Secrets Manager, potresti ricevere occasionalmente una reimpostazione della connessione per errore del peer. Ciò accade quando il server chiude una connessione TCP che il client sta utilizzando o sta tentando di utilizzare. Per gestire la capacità e mantenere la disponibilità, AWS i servizi, incluso Secrets Manager, possono chiudere le connessioni in qualsiasi momento.

Ciò influisce più spesso sulle connessioni keep-alive inattive riutilizzate dall'applicazione, ma può anche influire sulle connessioni appena stabilite. Le reimpostazioni occasionali sono una parte normale della gestione del ciclo di vita delle connessioni. Non indicano un problema con il tuo segreto o con il tuo account.

Per impostazione predefinita, gli AWS SDK gestiscono un pool di connessioni e ripetono questi errori su una nuova connessione, quindi di solito non è necessario intraprendere alcuna azione. Se riscontri questi errori, procedi come segue:

Se questi errori persistono per un periodo prolungato, la causa è probabilmente qualcosa di diverso dal normale ciclo di connessione. Per identificare la causa, controllate gli eventi di AWS Health Dashboard for Secrets Manager nella vostra AWS regione. Verifica anche il percorso di rete verso l'endpoint del servizio, incluso qualsiasi endpoint VPC, proxy, firewall o configurazione DNS. Se il problema persiste, contatta l'AWS assistenza.

«Impossibile generare una chiave dati con una chiave KMS asimmetrica» durante la creazione di una chiave segreta

Secrets Manager utilizza una chiave KMS di crittografia simmetrica associata a un segreto per generare una chiave di dati per ogni valore del segreto. Non puoi utilizzare una chiave KMS asimmetrica. Verifica di utilizzare una chiave KMS di crittografia simmetrica anziché una chiave KMS asimmetrica. Per le istruzioni, consulta Individuazione delle chiavi KMS asimmetriche.

Un record AWS CLI or AWS L'operazione SDK non riesce a trovare il mio segreto da un ARN parziale

In molti casi, Secrets Manager può trovare il segreto da una parte di un ARN anziché dall'ARN completo. Tuttavia, se il nome del tuo segreto termina con un trattino seguito da sei caratteri, Secrets Manager potrebbe non essere in grado di individuare il segreto da una sola parte di un ARN. Invece, ti consigliamo di utilizzare l'ARN completo o il nome del segreto.

Ulteriori dettagli

Secrets Manager include sei caratteri casuali alla fine del nome del segreto per garantire che l'ARN del segreto sia univoco. Se il segreto originale viene eliminato e quindi viene creato un nuovo segreto con lo stesso nome, i due segreti hanno ARN diversi grazie a questi caratteri. Gli utenti con accesso al vecchio segreto non ottengono automaticamente l'accesso al nuovo segreto perché gli ARN sono diversi.

Secrets Manager costruisce un ARN per un segreto con Regione, account, nome segreto e poi un trattino e altri sei caratteri, come segue:

arn:aws:secretsmanager:us-east-2:111122223333:secret:SecretName-abcdef

Se il tuo nome segreto termina con un trattino e sei caratteri, l'utilizzo di una sola parte dell'ARN può apparire in Secrets Manager come se si stesse specificando un ARN completo. Ad esempio, potresti avere un segreto denominato MySecret-abcdef con l'ARN

arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef-nutBrk

Se si chiama la seguente operazione, che utilizza solo una parte dell'ARN segreto, Secrets Manager potrebbe non trovare il segreto.

$ aws secretsmanager describe-secret --secret-id arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-abcdef

Questo segreto è gestito da un AWS servizio ed è necessario utilizzare tale servizio per aggiornarlo.

Se questo messaggio viene visualizzato mentre provi a modificare un segreto, il segreto potrà essere aggiornato solo utilizzando il servizio di gestione riportato nel messaggio. Per ulteriori informazioni, consulta AWS Secrets Manager segreti gestiti da altri AWS servizi.

Per determinare chi gestisce un segreto, puoi rivedere il nome del segreto. I segreti gestiti da altri servizi sono preceduti dall'ID di quel servizio. Oppure, chiama describe-secret AWS CLI, quindi esamina il campo. OwningService

L'importazione del modulo Python non riesce quando si utilizza Transform: -2024-09-16 AWS::SecretsManager

Se stai usando Transform: AWS::SecretsManager-2024-09-16 e riscontri errori di importazione del modulo Python durante l'esecuzione della funzione Lambda di rotazione, il problema è probabilmente causato da un valore incompatibile. Runtime Con questa versione di trasformazione, AWS CloudFormation gestisce automaticamente la versione di runtime, il codice e i file di oggetti condivisi. Non è necessario gestirli da soli.