如何将S3桶通知设置为SQS队列,其中桶和队列都使用KMS?
- 我有一个S3桶,其中内容使用AWS托管密钥(
aws/s3
默认密钥)加密。 - 我有一个启用了SSE(服务器端加密)的SQS队列,但是使用的是客户管理密钥CMK。
当我进入S3 Web控制台并尝试在我的桶上添加通知事件以发送到我的SQS队列时,我会看到以下错误消息:
无法验证以下目标配置。无法使用KMS对SSE队列中的消息进行加密。 (arn:aws:sqs:ca-central-1:...:...)
我已经尝试配置我的KMS密钥策略以授予S3服务帐户所需的权限。
{
"Sid": "Let S3 encrypt messages so that bucket notifications can be encrypted",
"Effect": "Allow",
"Principal": {
"Service": "s3.amazonaws.com"
},
"Action": [
"kms:GenerateDataKey",
"kms:Encrypt"
],
"Resource": "*"
},
如何才能允许存储桶通知发送到加密队列中?