Vault pas de secrets fetchés depuis KMS, permission denied

Question

salut la team on setup vault avec l'auto-unseal via kms sur aws. la config semble correcte mais au démarrage de vault j'ai une erreur de permission. genre il arrive pas à interagir avec kms pour décrypter la clé de master. je sèche.

seal "awskms" {
    region     = "eu-west-3"
    kms_key_id = "arn:aws:kms:eu-west-3:123456789012:key/abcdefgh-ijkl-mnop-qrst-uvwxyz123456"
  }

Et dans les logs vault:

Error initializing seal: error unsealing: error decrypting KMS ciphertext: AccessDeniedException: User: arn:aws:sts::123456789012:assumed-role/vault-role/i-0abcdef1234567890 is not authorized to perform: kms:Decrypt on resource: arn:aws:kms:eu-west-3:123456789012:key/abcdefgh-ijkl-mnop-qrst-uvwxyz123456

collin-theophile · Answer

hello t'as bien attaché la bonne policy IAM à ton rôle vault ? la AccessDeniedException c'est classique pour un souci de permissions. faut que le rôle qui run vault ait les droits kms:Decrypt sur la clé spécifique.

danielle-petit · Answer

ouaip j'ai vérifié le rôle vault-role il a une policy qui autorise kms:Decrypt sur * et kms:Encrypt sur *

elise32 · Answer

attention le * c'est traitre. t'as une key policy sur ta clé KMS aussi non ? des fois la key policy override ou limite les accès même si ton IAM role semble ok.

danielle-petit · Answer

ah la key policy j'y ai pas pensé. je vais regarder ça de plus près. thx pour le hint

gmichel · Answer

et t'es sur que le Vault server tourne avec le bon rôle IAM ? si t'as plusieurs rôles sur tes instances EC2 ça peut créer des confusions. un ptit curl sur l'endpoint metadata pour checker le rôle actuel

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

danielle-petit · Answer

ok je confirme le rôle est bon. par contre la key policy ! elle limitait l'accès à decrypt pour un autre rôle iam. j'ai ajouté mon vault-role dedans et miracle ça unseal tout seul. putain quelle prise de tête les policies imbriquées.

collin-theophile · Answer

nickel content que ça marche. les key policies c'est un piège classique mais ça permet d'avoir un contrôle super granulaire.

danielle-petit · Answer

clairement. merci à tous pour l'aide précieuse !

Vault pas de secrets fetchés depuis KMS, permission denied

Commentaires

Laisser une réponse

La programmation orientée objet dans le langage de programmation Go

Les attaques TeamPCP : Votre pipeline CI/CD est la nouvelle ligne de défense

Cours complet d'introduction à la SDL 2

Rejoindre la communauté