AWS：如何配置客户托管密钥以将事件从 AWS config 发布到加密的 SNS 主题？答案

【问题标题】：AWS: How to configure Customer Managed Key to publish events from AWS config to encrypted SNS topic?AWS：如何配置客户托管密钥以将事件从 AWS config 发布到加密的 SNS 主题？
【发布时间】：2020-10-22 08:55:49
【问题描述】：

这里的初学者问题。我想将事件从 AWS Config 服务发布到 SNS 主题 - 已加密。 我已经从各种服务发布到 SNS，但在这种情况下，可以在我的客户托管密钥声明中使用服务主体。所以我的 CMK yml 部分看起来像这样

            Statement:
              - Effect: Allow
                Principal:
                    Service:
                      - sns.amazonaws.com
                      - cloudtrail.amazonaws.com
                      - cloudwatch.amazonaws.com
                Action:
                  - kms:Encrypt
                  - kms:Decrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"

我知道为了从 AWS Config 发布，我不能使用服务委托人。在文档中，我阅读了

其他 Amazon SNS 事件源要求您提供 IAM 角色，如在 KMS 密钥策略中反对他们的服务主体。

但没有示例应如何提供此 IAM 角色。是这样的吗？

               Principal:
                    Service:
                      - sns.amazonaws.com
                      - cloudtrail.amazonaws.com
                      - cloudwatch.amazonaws.com
                    AWS:
                      - Role IAM

另外，我不确定这个角色会是什么样子。我可以创建一个可以发布到 SNS 的角色并将其添加到 CMK，但是我如何将它链接到 AWS Config 并确保该角色用于发布事件？有人可以建议这个角色应该包含什么吗？非常感谢

【问题讨论】：

标签： amazon-web-services amazon-sns aws-config

【解决方案1】：

来自docsL：

如果您使用控制台创建或更新角色，AWS Config 会为您附加 AWSConfigRole。

在我的情况下，当我检查我所拥有的时，该角色的完整角色是：

arn:aws:iam::xxxxx:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig

因此，在您的 CFN 中，可以尝试以下操作：

Principal:
    Service:
      - sns.amazonaws.com
      - cloudtrail.amazonaws.com
      - cloudwatch.amazonaws.com
    AWS:
      - !Sub "arn:aws:iam::${AWS::AccountId}:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"

在此之前，您可以检查AWSServiceRoleForConfig 是否真的为您存在。

【讨论】：