在AWS中创建加密Kinesis流时，%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%是什么意思？

Question

我在一个安全控制非常严格的环境中，尝试调试由terraform创建的流架构。目前，日志不起作用（我认为这是因为我在日志中获取ARN错误），但是当使用AWS服务加密创建加密流（即alias/aws/kinesis）时，自动生成策略的一行中有一行ARN，其中包含文本字符串%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%：

    {
        "Sid": "",
        "Effect": "Allow",
        "Action": [
            "logs:PutLogEvents"
        ],
        "Resource": [
            "arn:aws:logs:us-east-1:$awsAccount:log-group:/aws/kinesisfirehose/KDS-S3-Q8seN:log-stream:*",
            "arn:aws:logs:us-east-1:$awsAccount:log-group:%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%:log-stream:*"
        ]
    },

（其中 $awsAccount 被替换为实际的账户号码，但 %FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER% 是字面值。）

这个字符串也出现在其他子句和ARN中，例如：

 "StringLike": {
                "kms:EncryptionContext:aws:s3:arn": [
                    "arn:aws:s3:::%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%/*",
                    "arn:aws:s3:::%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%"
                ]
            }

有人能告诉我这是做什么的吗？ 这个策略是否应该直接使用那个字符串，还是我需要以某种方式提供一个值？

- Cognitiaclaeves

Answer 1

似乎Kinesis将创建一个起源于通用模板的角色+策略。根据您的配置，其中一些占位符将被填充，而其他占位符将保持不变（这就是您看到的）。这些占位符可以被删除。 来源。

- m1keil