AWS SSM参数使用KMS解密获取

Question

场景：我们的一个脚本使用boto3 kms api使用kms加密和解密来放置和获取SSM参数。SSM param put工作非常好，并且在EC2 SSM param存储中使用安全字符串添加参数（解密为true）。我们所面临的问题是当解密为真时尝试获取SSM参数值。运行此脚本的相应lambda代码在尝试运行以下boto3脚本时（在运行get_ssm_parameters_by_path时）抛出以下错误：

       session = boto3.Session()
       ssm_client = session.client('ssm', 'us-east-1')
       ssm_parameters = []
       response = ssm_client.get_parameters_by_path(
         Path=self.ssm_parameter_path,
         Recursive=True,
         WithDecryption=True
       )

错误：调用GetParametersByPath操作时出错（AccessDeniedException）：密文引用的客户主密钥不存在、不在此区域中或不允许您访问。（服务：AWSKMS；状态代码：400；错误代码：AccessDeniedException；请求ID：eaaxx-7ae7-11e8-97xx5e-b9exxxxxxx410):ClientError

我通过不同的AWS文档与KMS加密和解密工作，并更新了我的政策文档如下，但没有运气到目前为止。lambda使用的角色具有以下策略访问权限：

{
"Sid": "AllowSSMAccess",
"Effect": "Allow",
"Action": ["kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey"],
"Resource": "arn:aws:kms:us-east-1:AWS_ACCOUNT_NUMBER:key/<aws/ssm default key id>",
"Condition": {
    "StringEquals": {
        "kms:ViaService": "ssm.us-east-1.amazonaws.com",
        "kms:CallerAccount": "AWS_ACCOUNT_NUMBER"
    }
  }
}, 
{
"Sid": "AllowKeyMetadata",
"Effect": "Allow",
"Action": ["kms:Describe*", "kms:Get*", "kms:List*"],
"Resource": "arn:aws:kms:us-east-1:AWS_ACCOUNT_NUMBER:key/<aws/ssm default key id>"
},  
{
  "Sid": "KeyAccess",
  "Effect": "Allow",
  "Action": [
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Get*",
"kms:TagResource"
  ],
  "Resource": "arn:aws:kms:us-east-1:AWS_ACCOUNT_NUMBER:key/<aws/ssm default key id>"
}

其中AWS_ACCOUNT_NUMBER是我的AWS帐号，kms密钥id是默认的“AWS/SSM”密钥，用于加密和解密SSM参数。密钥确实存在于帐户中。我们给出的区域是“US-East-1”，所以0可以。错误的最后一部分说“或者您没有访问权限”。

我可以看到，该参数在EC2 SSM param store中可用，并且使用我正在解密的密钥ID正确地进行了解密。

为了成功运行“get_parameters_by_path”，我们需要执行哪些其他策略访问或添加。

Answer 1

您必须定义以下策略来访问参数存储键。

{
   "Sid": "getParameter",
    "Effect": "Allow",
    "Action": [
        "ssm:GetParameters"
    ],
    "Resource": "arn:aws:ssm:<region>:<AWS_ACCOUNT_NUMBER>:parameter/<Parameter_Store_Key_Name>"
},
{
    "Sid": "decryptKey",
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "arn:aws:kms:<region>:<AWS_ACCOUNT_NUMBER>:key/<aws/ssm_Key_Id>"
}

ssm：getParameters将允许我们访问parameter_store_key_name。请参阅https://docs.aws.amazon.com/kms/latest/developerguide/services-parameter-store.html。