Amazon Web Services — управление недействительными ключами в системе управления ключами

В этой статье мы рассмотрим, как устранить ошибку, указывающую на то, что « заявление о политике главного ключа клиента содержит один или несколько недопустимых принципалов» .

Когда мы создаем удостоверения в AWS Identity and Access Management (IAM). Мы часто даем им понятные имена, такие как разработчик, какое-то имя или администратор. Объекты IAM также можно идентифицировать по их ARN . Когда IAM создает профиль экземпляра политики роли группы пользователей или сертификат сервера, он назначает каждому объекту уникальный идентификатор, который выглядит следующим образом:

LJKSDFGHLK9FGHKLJ5GFH

Предположим, что user1 — пользователь IAM в нашей компании — указан в политике ключей AWS Key Management Service, и user1 покидает компанию. Затем нанимается новый человек с именем user1, и может быть создан пользователь IAM с тем же именем. Как правило, при удалении пользователя IAM или правила IAM, имеющего доступ к ключу KMS, KMS заменяет ARN этого объекта его уникальным идентификатором в политике ключей.

Это гарантирует, что этот новый сотрудник user1 не наследует ключевые разрешения, предоставленные нашему предыдущему пользователю.

Чтобы решить эту проблему, выполните следующие действия:

Шаг 1. После входа в Консоль управления AWS перейдите в консоль KMS. Затем выберите ключ .

Шаг 2: Теперь выберите Key policy.

Здесь мы можем увидеть текущие разрешения на выбранный ключ.

Шаг 3. Перейдите к консоли IAM и выберите нужных пользователей, а затем нажмите « Удалить пользователя» .

Шаг 4: Далее выберите Роли.

Шаг 5: Выберите роль AdminRole .

Шаг 6: Затем выберите «Удалить роль».

Шаг 7: Вернитесь к консоли KMS. Обратите внимание, что ARN пользовательского правила user1and admin теперь заменены их уникальными идентификаторами.

Шаг 8. Чтобы устранить вышеупомянутую ошибку, просмотрите инструкции в политике ключей и удалите все уникальные идентификаторы, обращая внимание на запятые в конце. Выберите Сохранить изменения.

Итак, теперь мы продемонстрировали вам, почему в KMS возникает ошибка недопустимого принципа и что делать, чтобы решить эту проблему.