Problème de rotation de clés KMS via Vault avec le plugin AWS

RSS
gomes-michele 11/01/2025
RÉSOLU
Retour Répondre
Avatar de gomes-michele
gomes-michele
Auteur Actif
Avatar de gomes-michele
gomes-michele
Auteur Actif

Salut la team j'ai un souci avec Vault et le plugin AWS KMS pour la rotation des clés. J'ai configuré un secret backend type aws et un rôle pour KMS mais quand je tente la rotation via vault write aws/rotate-root-key, ça me sort des erreurs d'accès ou de permissions. J'ai pourtant mis toutes les permissions kms:* sur le rôle IAM attaché à mon serveur Vault. Je pige pas

vault write aws/rotate-root-key
# Erreur typique:
# Error writing aws/rotate-root-key: Error making API request.
# URL: POST https://vault.example.com/v1/aws/rotate-root-key
# Code: 400. Errors:
# * no kms keys found for rotation, please check your configuration
11/01/2025 à 19:34

7 commentaires

Avatar de delorme-tristan
delorme-tristan
Membre Actif Secouriste
Avatar de delorme-tristan
delorme-tristan
Membre Actif Secouriste

yo t'as checké les logs Vault avec un niveau de debug plus élevé vault server -log-level=debug des fois ça donne des infos plus précises sur l'appel AWS qui foire. et vérifie si ta politique IAM sur le rôle Vault n'a pas un Deny implicite ou explicite quelque part qui override ton Allow général

Modifié le 23/05/2026 à 16:20
Avatar de hugues47
hugues47
Membre Actif Secouriste
Avatar de hugues47
hugues47
Membre Actif Secouriste

côté KMS t'as pas des policies de clé qui restreignent l'accès à certaines entités IAM spécifiquement ? même si ton rôle a les perms IAM, la policy de la clé KMS elle-même peut être plus restrictive et empêcher Vault d'agir

13/01/2025 à 13:27
Avatar de delorme-tristan
delorme-tristan
Membre Actif Secouriste
Avatar de delorme-tristan
delorme-tristan
Membre Actif Secouriste

ouais ce que dit user_key:3 c'est important. la policy KMS sur la clé doit permettre à l'ARN de l'instance Vault (ou du rôle qu'il assume) de faire kms:ListAliases kms:CreateKey kms:ScheduleKeyDeletion et kms:TagResource au minimum. sans ça Vault peut pas gérer le cycle de vie

Modifié le 23/05/2026 à 16:20
Avatar de bernard-muller
bernard-muller
Membre Actif
Avatar de bernard-muller
bernard-muller
Membre Actif

aussi si t'as plusieurs régions aws dans ta config de backend aws pour vault vérifie que t'essaies de rotate une clé dans une région où vault a bien accès. et que ton endpoint kms est bon si t'utilises un vpc endpoint

15/01/2025 à 07:30
Avatar de delorme-tristan
delorme-tristan
Membre Actif Secouriste
Avatar de delorme-tristan
delorme-tristan
Membre Actif Secouriste

t'as bien activé le root_rotation_enabled sur ton backend aws pour KMS ? par défaut il est à false je crois. vault read aws/config/root pour voir la config

Modifié le 23/05/2026 à 16:20
Avatar de hugues47
hugues47
Membre Actif Secouriste
Avatar de hugues47
hugues47
Membre Actif Secouriste

sinon tu peux tenter de créer une clé KMS manuellement avec les mêmes perms que celles que Vault utilise pour la rotation et voir si tu as le même souci. ça peut aider à isoler si le problème est côté Vault ou purement AWS IAM/KMS

16/01/2025 à 21:59
Avatar de gomes-michele
gomes-michele
Auteur Actif
Avatar de gomes-michele
gomes-michele
Auteur Actif

Ok les gars c'était une combinaison de deux trucs. D'une part la politique de clé KMS n'avait pas le kms:ScheduleKeyDeletion pour le rôle de Vault. Et en plus j'avais mal configuré le paramètre allowed_managed_key_id dans mon rôle Vault pour KMS, il était trop restrictif. J'ai corrigé les deux et paf la rotation passe. Thx pour le coup de main !

Modifié le 23/05/2026 à 16:20

Laisser une réponse

Vous devez être connecté pour poster un message !

Rejoindre la communauté

Recevoir les derniers articles gratuitement en créant un compte !

S'inscrire