Зашифрованные уведомления корзины от S3 до SQS - PullRequest
Новая
       99

Зашифрованные уведомления корзины от S3 до SQS

2 голосов
/ 05 мая 2020

Как я могу настроить уведомления корзины S3 для очереди в SQS, где KMS используются как для корзины, так и для очереди?

  • У меня есть корзина в S3, содержимое которой зашифровано с AWS Управляемый ключ (ключ aws/s3 по умолчанию).
  • У меня есть очередь в SQS, где SSE (шифрование на стороне сервера) включено, но с использованием CMK (ключа, управляемого клиентом).

Когда я go в веб-консоль S3 и пытаюсь добавить событие уведомления в моем сегменте, которое отправляется в мою очередь в SQS, я получаю это сообщение об ошибке:

Невозможно проверить следующие конфигурации назначения. Сообщение в очередь SSE не может быть зашифровано с помощью KMS. (arn: aws: sqs: ca-central-1: ...: ...)

Я уже пытался настроить свою политику ключей KMS, чтобы предоставить учетной записи службы S3 разрешения это необходимо. 

        {
            "Sid": "Let S3 encrypt messages so that bucket notifications can be encrypted",
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt"
            ],
            "Resource": "*"
        },

Что мне нужно сделать, чтобы разрешить уведомления корзины в зашифрованной очереди?

1 Ответ

2 голосов
/ 05 мая 2020

Согласно документации , второе действие должно быть kms:Decrypt вместо kms:Encrypt.

...