amazon-web-services - AWS Cloudwatch 无法使用 SSE 发布到 SNS 主题

Question

我有一个 Route53 运行状况检查，它将其指标提交到 Cloudwatch，最后 Cloudwatch 指定阈值并应通过 SNS 发送警报。

但是，我希望对我的 SNS 主题进行加密。当我使用 alias/aws/sns key 打开 SNS 主题加密时，我会在 Cloudwatch 消息历史记录中收到以下消息:

{
  "actionState": "Failed",
  "stateUpdateTimestamp": 123456778899,
  "notificationResource": "arn:aws:sns:xx-region-y:zzzzzzzzzz:topic_name",
  "publishedMessage": null,
  "error": "null (Service: AWSKMS; Status Code: 400; Error Code: AccessDeniedException; Request ID: ccccccccccccccccccc)"
}

这似乎不是 Cloudwatch 的 IAM 问题，而是 SNS 本身未被授权使用 KMS 资源。

我喜欢为 IAM 用户使用 IAM 策略模拟器来确定他们缺少权限的地方，但似乎没有一种方法可以验证服务对其他服务的访问权限。这是我能应付的事情吗？

https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html

我还尝试使用具有以下策略的 CMK:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "sns.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "route53.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "events.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::XXXXXXXX:role/OrganizationAccountAccessRole"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

我几乎和校长们在墙上 throw 飞镖，但我认为有对 SNS 的 sns.amazonaws.com 和 Cloudwatch 的 events.amazonaws.com 的验证。

以这种方式使用 CMK 时，我也收到了完全相同的错误 "null (Service: AWSKMS; Status Code: 400; Error Code: AccessDeniedException; Request ID: ccccccccccccccccccc)" 。我可以理解我的 CMK 无法正常工作，但我认为 Amazon 托管的 key 应该是开箱即用的。

我尝试使用 CMK 授予 sns.amazonaws.com 和 events.amazonaws.com 与 kms:* 权限。同样的错误。

Answer 1

更新:此信息可能已过时。请尝试其他答案，并让所有人知道它们是否适合您。

显然，根据 Protecting Amazon SNS Data Using Server-Side Encryption (SSE) and AWS KMS，CloudWatch 无法向加密的 SNS 主题发送消息。 :

Currently, CloudWatch alarms don't work with Amazon SNS encrypted topics. For information about publishing alarms to unencrypted topics, see Using Amazon CloudWatch Alarms in the Amazon CloudWatch User Guide.

然而，博文 Encrypting messages published to Amazon SNS with AWS KMS似乎表明你可以...
🤦