在KMS加密的SNS中从lambda函数发布

Question

我试图从一个Python 3.8Lambda函数发布到一个KMS加密的SNS主题。我的lambda的代码是：

import os
import boto3

sns = boto3.client('sns')


def handler(event, context):
    message = 'Hello world'

    response = sns.publish(
        TopicArn='<My topic ARN>',
        Message=message,
    )

如果SNS没有加密，代码可以完美地工作······

...但是当我通过以下选项加密SNS主题时：

在执行lambda时，我得到以下错误：

{“errorMessage”：“调用发布操作时发生错误（KMSNotFound）：无效键号AWS/SNS（服务：AWSKMS；状态代码：400；错误代码：NotFoundException；请求ID:d81234100-9cb4-4af2-0032-c4a568a955f4)”，“errorType”：“KmsnotFoundException”，“StackTrace”：[“File\”/var/task/lambda.py\“，第10行，在处理程序中\n boto3.client('sns').Publish(\n”，“File\”._make_api_call(operation_name,kwargs)\n“,”File“/var/runtime/botocore/client.py”,第626行，在_make_api_call\n引发error_class（parsed_response,operation_name)\n“]}

我在代码中遗漏了什么？

Answer 1

AWS支持人员善意地指出，我在lambda执行角色中缺少KMS权限。

Lambda函数执行角色必须具有以下内容才能在SNS中发布加密主题：

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "kms:GenerateDataKey",
      "kms:Decrypt"
    ],
    "Resource": "<the-key-with-which-the-topic-is-encrypted>"
  }
}