Problème de rotation de clés KMS via Vault avec le plugin AWS

Question

Salut la team j'ai un souci avec Vault et le plugin AWS KMS pour la rotation des clés. J'ai configuré un secret backend type aws et un rôle pour KMS mais quand je tente la rotation via vault write aws/rotate-root-key, ça me sort des erreurs d'accès ou de permissions. J'ai pourtant mis toutes les permissions kms:* sur le rôle IAM attaché à mon serveur Vault. Je pige pas
vault write aws/rotate-root-key
# Erreur typique:
# Error writing aws/rotate-root-key: Error making API request.
# URL: POST https://vault.example.com/v1/aws/rotate-root-key
# Code: 400. Errors:
# * no kms keys found for rotation, please check your configuration

delorme-tristan · Answer

yo t'as checké les logs Vault avec un niveau de debug plus élevé vault server -log-level=debug des fois ça donne des infos plus précises sur l'appel AWS qui foire. et vérifie si ta politique IAM sur le rôle Vault n'a pas un Deny implicite ou explicite quelque part qui override ton Allow général

hugues47 · Answer

côté KMS t'as pas des policies de clé qui restreignent l'accès à certaines entités IAM spécifiquement ? même si ton rôle a les perms IAM, la policy de la clé KMS elle-même peut être plus restrictive et empêcher Vault d'agir

delorme-tristan · Answer

ouais ce que dit user_key:3 c'est important. la policy KMS sur la clé doit permettre à l'ARN de l'instance Vault (ou du rôle qu'il assume) de faire kms:ListAliases kms:CreateKey kms:ScheduleKeyDeletion et kms:TagResource au minimum. sans ça Vault peut pas gérer le cycle de vie

bernard-muller · Answer

aussi si t'as plusieurs régions aws dans ta config de backend aws pour vault vérifie que t'essaies de rotate une clé dans une région où vault a bien accès. et que ton endpoint kms est bon si t'utilises un vpc endpoint

delorme-tristan · Answer

t'as bien activé le root_rotation_enabled sur ton backend aws pour KMS ? par défaut il est à false je crois. vault read aws/config/root pour voir la config

hugues47 · Answer

sinon tu peux tenter de créer une clé KMS manuellement avec les mêmes perms que celles que Vault utilise pour la rotation et voir si tu as le même souci. ça peut aider à isoler si le problème est côté Vault ou purement AWS IAM/KMS

gomes-michele · Answer

Ok les gars c'était une combinaison de deux trucs. D'une part la politique de clé KMS n'avait pas le kms:ScheduleKeyDeletion pour le rôle de Vault. Et en plus j'avais mal configuré le paramètre allowed_managed_key_id dans mon rôle Vault pour KMS, il était trop restrictif. J'ai corrigé les deux et paf la rotation passe. Thx pour le coup de main !

Problème de rotation de clés KMS via Vault avec le plugin AWS

7 commentaires

Laisser une réponse

Event à la Dockercon Europe 2018

Les backends et les workspaces

Améliorer la productivité du modèle DevOps (DORA)

Ma participation au DevFest Nantes

Tissus Réseaux Intelligents : L'Ère de l'Opération par Intention

Rejoindre la communauté