从根账户保护我的AWS秘密

问题描述

我正在AWS Codepipeline中创建ci / cd管道，为此，我在AWS SecretManager中创建了很多参数（github密码，dockerhub密码等等）。

好吧，这个秘密是我的（来自我的个人帐户），不能与任何人（包括根帐户）共享。

是否有一种方法可以保护这些秘密免受root帐户的侵害？我只想为我的管道授予对这些机密进行读/写的权限，但是如果需要，root帐户可以更改它。

解决方法

除非帐户本身无权访问该服务，否则不可能限制root用户对服务的访问。这可以通过AWS Organizations SCP来完成。