我注意到在以下两种情况下:
- 向加密存储桶执行
PutObject
操作。 - 向加密队列发送
SendMessage
消息。
除了需要kms:GenerateDataKey
权限之外,我还需要拥有kms:Decrypt
权限,否则会抛出“未授权”异常。
为什么会这样呢?
SQS
还需要kms:Decrypt
吗?还是kms:Encrypt
? - Marcinkms:Decrypt
。而且它不是SQS,是调用SendMessage
的服务。 - Ori Wasserman