Comment puis-je résoudre les erreurs KMSAccessDeniedException à partir d'AWS Lambda ?

Brève description

Mettez à jour les autorisations AWS Key Management Service (AWS KMS) de votre identité AWS Identity and Access Management (IAM) en fonction du message d'erreur.

Important : si la clé AWS KMS et le rôle IAM appartiennent à des comptes AWS différents, la politique IAM ainsi que la stratégie de clé AWS KMS doivent être mises à jour.

Pour plus d'informations sur les clés AWS KMS et la gestion des politiques, veuillez consulter la section Clés AWS KMS.

Résolution

Remarque : si vous recevez des messages d'erreurs lors de l'exécution de l’interface de la ligne de commande AWS (AWS CLI), vérifiez que vous utilisez la version la plus récente d'AWS CLI.

Pour résoudre les erreurs « KMS Exception: UnrecognizedClientExceptionKMS Message »

L'erreur suivante se produit généralement lorsque le rôle d'exécution d'une fonction Lambda est supprimé, puis recréé en utilisant le même nom, mais avec un principal différent :

Calling the invoke API action failed with this message: Lambda was unable to decrypt the environment variables because KMS access was denied. Please check the function's AWS KMS key settings. KMS Exception: UnrecognizedClientExceptionKMS Message: The security token included in the request is invalid.

Pour résoudre l'erreur, vous devez réinitialiser l'autorisation AWS KMS pour le rôle d'exécution de la fonction en procédant comme suit :

Remarque : l'utilisateur IAM qui crée et met à jour la fonction Lambda doit être autorisé à utiliser la clé AWS KMS.

1.    Obtenez l'Amazon Resource Name (ARN) du rôle d'exécution actuel de la fonction et de la clé AWS KMS, en exécutant la commande AWS CLI suivante :

Remarque : remplacez yourFunctionName par le nom de votre fonction.

$ aws lambda get-function-configuration --function-name yourFunctionName

2.    Réinitialisez l'autorisation KMS d'AWS en effectuant l'une des opérations suivantes :

Mettez à jour le rôle d'exécution de la fonction à une valeur différente et temporaire, en exécutant la commande update-function-configuration suivante :

Important : remplacez temporaryValue par l'ARN du rôle d'exécution temporaire.

$ aws lambda update-function-configuration --function-name yourFunctionName --role temporaryValue

Ensuite, mettez à jour le rôle d'exécution de la fonction pour revenir au rôle d'exécution d'origine en exécutant la commande suivante :

Important : remplacez originalValue par l'ARN du rôle d'exécution d'origine.

$ aws lambda update-function-configuration --function-name yourFunctionName --role originalValue

• ou -

Mettez à jour la clé AWS KMS de la fonction avec une valeur différente et temporaire, en exécutant la commande update-function-configuration suivante :

Important : remplacez temporaryValue par un ARN de clé AWS KMS temporaire. Afin d'utiliser une clé de service par défaut, définissez le paramètre kms-key-arn sur "".

$ aws lambda update-function-configuration --function-name yourFunctionName --kms-key-arn temporaryValue

Ensuite, mettez à jour la clé AWS KMS de la fonction pour revenir à l'ARN de la clé AWS KMS d'origine en exécutant la commande suivante :

Important : remplacez originalValue par l'ARN de la clé AWS KMS d'origine.

$ aws lambda update-function-configuration --function-name yourFunctionName --kms-key-arn originalValue

Pour plus d'informations, veuillez consulter la section Politiques de clé dans AWS KMS.

Pour résoudre les erreurs « KMS Exception: AccessDeniedException KMS Message »

L'erreur suivante indique que votre identité IAM ne dispose pas des autorisations requises pour exécuter l'action d'API kms:Decrypt :

Lambda was unable to decrypt your environment variables because the KMS access was denied. Please check your KMS permissions. KMS Exception: AccessDeniedException KMS Message: The ciphertext refers to a customer master key that does not exist, does not exist in this region, or you are not allowed to access.

Afin de corriger l'erreur, ajoutez l'instruction de politique suivante à votre rôle ou utilisateur IAM :

Important : remplacez "your-KMS-key-arn" par l'ARN de votre clé AWS KMS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": "kms:Decrypt",
      "Resource": "your-KMS-key-arn"
    }
  ]
}

Pour obtenir des instructions, veuillez consulter les sections Ajout d'autorisations à un utilisateur (console) ou Modification d'une politique d'autorisations de rôle (console), en fonction de votre cas d'utilisation.

Pour résoudre les erreurs « You are not authorized to perform » (Vous n'êtes pas autorisé à effectuer)

Les erreurs suivantes indiquent que votre identité IAM ne dispose pas de l'une des autorisations requises pour accéder à la clé AWS KMS :

You are not authorized to perform: kms:Encrypt.

You are not authorized to perform: kms:CreateGrant.

User: user-arn is not authorized to perform: kms:ListAliases on resource: * with an explicit deny.

Remarque : les autorisations AWS KMS ne sont pas requises pour votre identité IAM ou le rôle d'exécution de la fonction si vous utilisez la politique de clé par défaut.

Pour résoudre ces types d'erreurs, vérifiez que votre utilisateur ou votre rôle IAM dispose des autorisations requises pour effectuer les actions AWS KMS API suivantes :

• ListAliases
• CreateGrant
• Chiffrer
• Déchiffrer

Pour obtenir des instructions, consultez Ajout d'autorisations à un utilisateur (console) ou Modification d'une politique d'autorisations de rôle (console), en fonction de votre cas d'utilisation..

Exemple de déclaration de politique IAM qui accorde les autorisations requises pour accéder à une clé AWS KMS gérée par le client

Important : la valeur de la ressource doit être « * ». L'action kms:ListAliases ne prend pas en charge les autorisations de bas niveau. Assurez-vous également de remplacer "your-kms-key-arn" par l'ARN de votre clé AWS KMS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "statement1",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:CreateGrant"
      ],
      "Resource": "your-kms-key-arn"
    },
    {
      "Sid": "statement2",
      "Effect": "Allow",
      "Action": "kms:ListAliases",
      "Resource": "*"
    }
  ]
}

Pour corriger les erreurs « Access to KMS is not allowed » (L'accès au KMS n'est pas autorisé)

L'erreur suivante indique qu'une entité IAM n'est pas autorisée à obtenir les secrets d'AWS Secrets Manager :

Access to KMS is not allowed (Service: AWSSecretsManager; Status Code: 400; Error Code: AccessDeniedException; Request ID: 123a4bcd-56e7-89fg-hij0-1kl2m3456n78)

Assurez-vous que votre utilisateur ou votre rôle IAM dispose des autorisations requises pour effectuer les actions d'API AWS KMS suivantes :

• Déchiffrer
• GenerateDataKey

Pour plus d’informations, consultez Comment puis-je résoudre les problèmes d'accès à un secret AWS Secrets Manager chiffré ?

---

Informations connexes

Comment résoudre les erreurs de code d'état HTTP 502 et HTTP 500 (côté serveur) provenant d'AWS Lambda ?

Comment puis-je résoudre les problèmes d'échec de la fonction Lambda ?