Lambda 无法访问 KMS 密钥答案

【问题标题】：Lambda cannot access KMS KeyLambda 无法访问 KMS 密钥
【发布时间】：2019-04-21 23:38:02
【问题描述】：

当我运行我的 lambda 代码时，我收到以下错误：

The ciphertext refers to a customer master key that does not exist, does not exist in this region, or you are not allowed to access.

我主要是跟着this使用aws-sam-cli创建堆栈，模板的相关部分在代码下方。

相关代码为：

const ssm = new AWS.SSM();
const param = {
    Name: "param1",
    WithDecryption: true
};
const secret = await ssm.getParameter(param).promise();

template.yaml文件的相关部分是：

KeyAlias:
    Type: AWS::KMS::Alias
    Properties:
      AliasName: 'param1Key'
      TargetKeyId: !Ref Key
Key:
    Type: AWS::KMS::Key
    Properties:
      KeyPolicy:
        Id: default
        Statement:
        - Effect: Allow
          Principal:
            AWS: !Sub arn:aws:iam::${AWS::AccountId}:root
          Action:
          - 'kms:Create*'
          - 'kms:Encrypt'
          - 'kms:Describe*'
          - 'kms:Enable*'
          - 'kms:List*'
          - 'kms:Put*'
          - 'kms:Update*'
          - 'kms:Revoke*'
          - 'kms:Disable*'
          - 'kms:Get*'
          - 'kms:Delete*'
          - 'kms:ScheduleKeyDeletion'
          - 'kms:CancelKeyDeletion'
          Resource: '*'
          Sid: Allow root account all permissions except to decrypt the key
        Version: 2012-10-17

LambdaFunction:
    Type: AWS::Serverless::Function
    Properties:
      CodeUri: ../
      Handler: app.lambda
      Runtime: nodejs8.10
      Policies:
      - DynamoDBReadPolicy:
          TableName: !Ref Table
      - KMSDecryptPolicy:
          KeyId: !Ref Key
      - Statement:
         - Action:
           - "ssm:GetParameter"
           Effect: Allow
           Resource: !Sub "arn:aws:ssm:${AWS::Region}:${AWS::AccountId}:parameter/param1"

KMSDecryptPolicy 不允许使用密钥吗？我错过了什么？谢谢！

编辑：将模板更改为以下是可行的，但如果可能的话，我真的很想在 lambda 定义中使用 KMSDecryptPolicy。

LambdaFunction:
    Type: AWS::Serverless::Function
    Properties:
      CodeUri: ../
      Handler: app.lambda
      Runtime: nodejs8.10
      Policies:
      - DynamoDBReadPolicy:
          TableName: !Ref Table
      - KMSDecryptPolicy:
          KeyId: !Ref Key
      - Statement:
         - Action:
           - "ssm:GetParameter"
           Effect: Allow
           Resource: !Sub "arn:aws:ssm:${AWS::Region}:${AWS::AccountId}:parameter/param1"

Key:
    Type: AWS::KMS::Key
    Properties:
      KeyPolicy:
        Id: default
        Statement:
        - Effect: Allow
          Principal:
            AWS: !Sub arn:aws:iam::${AWS::AccountId}:root
          Action:
          - 'kms:Create*'
          - 'kms:Encrypt'
          - 'kms:Describe*'
          - 'kms:Enable*'
          - 'kms:List*'
          - 'kms:Put*'
          - 'kms:Update*'
          - 'kms:Revoke*'
          - 'kms:Disable*'
          - 'kms:Get*'
          - 'kms:Delete*'
          - 'kms:ScheduleKeyDeletion'
          - 'kms:CancelKeyDeletion'
          Resource: '*'
          Sid: Allow root account all permissions except to decrypt the key
        - Sid: 'Allow use of the key for decryption by the LambdaFunction'
          Effect: Allow
          Principal:
            AWS: !GetAtt LambdaFunctionRole.Arn
          Action:
          - 'kms:Decrypt'
          Resource: '*'        
        Version: 2012-10-17

【问题讨论】：

感谢您的解决方案，但可以将其作为答案发布，并简要说明您所做的更改？会更容易阅读和理解您所做的更改。
对我来说，解决方案是创建docs.aws.amazon.com/systems-manager/latest/userguide/…中提到的所需端点
可能是一个愚蠢的问题，但上面的模板不是循环引用吗？
是的，事实上这是行不通的

标签： amazon-web-services aws-lambda aws-serverless aws-sam-cli serverless-application-model

【解决方案1】：

问题本身包含答案。变化在于，它不仅在 lambda 角色中授予 KMS 权限（基于身份的方式），还在密钥策略中授予 lambda 角色权限（基于资源的方式）。

这里是关于为什么会发生这种情况的 AWS 官方资源 - https://docs.aws.amazon.com/kms/latest/developerguide/iam-policies.html

据此

所有 KMS CMK 都有一个密钥策略，您必须使用它来控制对 CMK 的访问。 IAM 策略本身不足以允许访问 CMK，但您可以将它们与 CMK 的密钥策略结合使用。

【讨论】：