启用服务器端加密的AWS SQS跨帐户访问

Question

上下文：AWS account 2中有一个API将SQS url作为其输入之一，并向其发布输出。帐户1的所有者希望将此API与自己的SQS队列一起使用。

帐户1有一个启用了SSE-KMS的SQS队列。帐户1的所有者希望帐户2中的特定IAM用户能够发布到此SQS队列。我知道实现这一目标的唯一方法是：

1. 将外部帐户2的ID添加到帐户1的KMS密钥设置中

这种方法的问题是两个帐户都需要采取行动。如果只有帐户1的所有者需要做任何事情，而不需要打扰帐户2的所有者，是否有一种更简单的方法来实现相同的结果？

编辑1：当我们尝试在不启用SQS加密的情况下进行集成时，一切正常。这就是为什么我们知道这是KMS问题，而不是SQS政策。一旦我们启用SQS加密，它就会由于AccessDeniedException而开始失败

Answer 1

为了测试这种情况，我做了以下操作：

在账户A中：

• 已创建用户-1

然后，我以用户-1的身份运行了一个命令，向队列发送一条消息：

aws sqs send-message --queue-url https://sqs.ap-southeast-2.amazonaws.com/123456789012/my-queue --message-body foo --profile user-1

答复是：

调用SendMessage操作时出错（KMS.AccessDeniedException）：用户：arn:aws:iam:：123456789012:User/User-1无权对资源执行：KMS:GeneratedTakey:arn:aws:KMS:ap-2:123456789012:key/xxx（服务：AWSKMS；状态代码：400；错误代码：AccessDeniedException；请求ID:xxx）

因此，这表明在向队列发送消息时，必须授予用户使用KMS的权限，显然是授予KMS:GenerateDataKey。我假设每条消息都是通过KMS生成的唯一密钥单独加密的。

然后我授予User-1使用KMS密钥的权限，命令成功完成。因此，它在同一个帐户内工作。

然后，在账户2中：

• 已创建用户-2

当我用用户2的凭据再次运行命令时，我收到了：

调用SendMessage操作：访问资源时出错（AccessDenied）https://ap-southeast-2.queue.amazonaws.com/他被拒绝了。

这是意料之中的，因为用户2位于不同的帐户（帐户2）。

然后我转到Account-1中的SQS队列，通过提供User-2的ARN为User-2添加了权限。

我再次运行命令，得到了熟悉的：

调用SendMessage操作时出错（KMS. AccessDeniedExc0019）：null（服务：AWSKMS；状态代码：400；错误代码：AccessDeniedExcture；请求ID：xxx）

请注意，它在错误中提到了ASKMS。

然后我更新了KMS密钥以允许arn： aws： iam::

那还是没用。结果我不得不向User-2添加一些kms:type权限。（太多权限了，但我越来越懒了！）

这个，然后起作用了。

然后我删除了KMS外部帐户权限，它仍然有效。

因此，似乎：

• 帐户2中的用户2需要权限才能调用SQS和KMS
• 帐户1中的SQS队列需要权限才能允许用户2使用该队列

你可能想问他们是否真的，真的想使用KMS密钥！：）