SecretsManagerReadWrite + AWSKeyManagementServicePowerUser

A proteção de um segredo no Secrets Manager depende de duas autorizações distintas: acesso ao segredo e acesso à chave KMS que o cifra. É por isso que a AWS permite que a key policy seja gerida por um time diferente do que gere o segredo. Quando a mesma identidade tem as duas, a cifra deixa de ser um controle de acesso e vira só armazenamento.

Extração de credenciais de banco, chaves de API e tokens de integração por uma única identidade, sem que nenhuma segunda autorização precise ser obtida ou registrada.

• Manter a key policy do KMS sob custódia de uma equipe de segurança, separada de quem opera os segredos.
• Usar chaves gerenciadas pelo cliente com key policy explícita, em vez da chave padrão do serviço.
• Ativar rotação de segredo e alertar sobre GetSecretValue em volume atípico ou fora de horário.
• Auditar Decrypt no CloudTrail para as chaves que cifram segredos de produção.

• https://docs.aws.amazon.com/secretsmanager/latest/userguide/security-best-practices.html
• https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html