Vault pas de secrets fetchés depuis KMS, permission denied

Question

salut la team on setup vault avec l'auto-unseal via kms sur aws. la config semble correcte mais au démarrage de vault j'ai une erreur de permission. genre il arrive pas à interagir avec kms pour décrypter la clé de master. je sèche.

seal "awskms" {
    region     = "eu-west-3"
    kms_key_id = "arn:aws:kms:eu-west-3:123456789012:key/abcdefgh-ijkl-mnop-qrst-uvwxyz123456"
  }

Et dans les logs vault:

Error initializing seal: error unsealing: error decrypting KMS ciphertext: AccessDeniedException: User: arn:aws:sts::123456789012:assumed-role/vault-role/i-0abcdef1234567890 is not authorized to perform: kms:Decrypt on resource: arn:aws:kms:eu-west-3:123456789012:key/abcdefgh-ijkl-mnop-qrst-uvwxyz123456

collin-theophile · Answer

hello t'as bien attaché la bonne policy IAM à ton rôle vault ? la AccessDeniedException c'est classique pour un souci de permissions. faut que le rôle qui run vault ait les droits kms:Decrypt sur la clé spécifique.

danielle-petit · Answer

ouaip j'ai vérifié le rôle vault-role il a une policy qui autorise kms:Decrypt sur  et kms:Encrypt sur

elise32 · Answer

attention le * c'est traitre. t'as une key policy sur ta clé KMS aussi non ? des fois la key policy override ou limite les accès même si ton IAM role semble ok.

danielle-petit · Answer

ah la key policy j'y ai pas pensé. je vais regarder ça de plus près. thx pour le hint

gmichel · Answer

et t'es sur que le Vault server tourne avec le bon rôle IAM ? si t'as plusieurs rôles sur tes instances EC2 ça peut créer des confusions. un ptit curl sur l'endpoint metadata pour checker le rôle actuel

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

danielle-petit · Answer

ok je confirme le rôle est bon. par contre la key policy ! elle limitait l'accès à decrypt pour un autre rôle iam. j'ai ajouté mon vault-role dedans et miracle ça unseal tout seul. putain quelle prise de tête les policies imbriquées.

collin-theophile · Answer

nickel content que ça marche. les key policies c'est un piège classique mais ça permet d'avoir un contrôle super granulaire.

danielle-petit · Answer

clairement. merci à tous pour l'aide précieuse !

Vault pas de secrets fetchés depuis KMS, permission denied

8 commentaires

Laisser une réponse

Les packages dans le langage de programmation Go

Lire et écrire dans un fichier dans le langage de programmation Go

Les channels dans le langage de programmation Go

Les méthodes pour ajouter des fichiers à votre projet GitLab

Les Jalons Milestones sur GitLab pour planifier vos délais

Rejoindre la communauté