0

EventBridgeで検知した内容をSNSトピックでメール通知をしたいです。
SNSトピックはCMKで暗号化されていて、以下のキーポリシーを登録しましたがうまくいきません。

やりたいことはCMKを利用するAWSアカウントを制限したいです。
ご回答をよろしくお願いいたします。

it works

{
    "Sid": "Enable cross account events",
    "Effect": "Allow",
    "Principal": {
        "Service": "events.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*"
}

以下はうまくいきません。

{
    "Sid": "Enable cross account events",
    "Effect": "Allow",
    "Principal": {
        "Service": "events.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "xxxxxxxxxxxx"
        }
    }
}

1 件の回答 1

0

現状では無理っぽいです。SNSトピックに投げるのはユーザーアカウントではなくサービスなのでAccountID情報が付かないです。

最近、サービスにリンクされたロールが導入されつつあり、例えばAuto Scaling Groupであればこれが使えます。具体的にはAuto Scaling Groupが(ユーザーに代わって)EC2インスタンスを作成するため、EBS暗号化の処理などにkms:Decryptなどのアクションが必要になります。ここでサービスにリンクされたロールにこれらの許可を与えておくことができるわけです。

しかし、CloudWatch Eventsにはまだサービスにリンクされたロールが導入されていないため、同様の指定はできません。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。