要使用 KMS 加密的 Secrets Manager 密钥的 SCP

【问题标题】：SCP For Secrets Manager Secrets to be Encrypted with KMS要使用 KMS 加密的 Secrets Manager 密钥的 SCP
【发布时间】：2021-10-29 12:57:15
【问题描述】：

任何人都可以帮我看看是否有 Guardrails SCP，您可以在组织级别为 Secrets Manager Secrets 使用 KMS 加密

【问题讨论】：

请澄清您的具体问题或提供其他详细信息以准确突出您的需求。正如目前所写的那样，很难准确地说出你在问什么。

标签： amazon-web-services aws-secrets-manager amazon-kms aws-organizations

【解决方案1】：

默认情况下，AWS Secrets Manager 使用默认 KMS 密钥加密您的所有密钥。所以，我猜您想阻止创建秘密，除非您的用户指定特定的 KMS CMK。

以下是您可以使用的 SCP 示例：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "DenySecretsCreationWrongKey",
        "Effect": "Deny",
        "Action": "secretsmanager:CreateSecret",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "secretsmanager:KmsKeyId": [CMK_ARN]
             }
          }
       }
   ]
}

【讨论】：