AWS：对SSM参数调用SSM：GetParameterHistory时的AccessDeniedException

Question

我正在尝试编写一个lambda，通过调用boto3.client('ssm').get_parameter_history(Name=event[“name”]，withdecryption=true)来监听来自CloudWatch的参数存储更改事件，并获取参数的历史数据。此方法失败,返回以下消息：

BotoCore.Exceptions.ClienError：调用GetParameterHistory操作时出错（AccessDeniedException）：密文引用的客户主密钥不存在、不在此区域中或不允许您访问。（服务：AWSKMS；状态代码：400；错误代码：AccessDeniedException；请求ID：blah-blah-blah）

下面是lambda的执行角色：

{
  "roleName": "myapp-paramstore-updates-webhook-role",
  "policies": [
    {
      "document": {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": "logs:CreateLogGroup",
            "Resource": "arn:aws:logs:eu-west-1:000000000000:*"
          },
          {
            "Effect": "Allow",
            "Action": [
              "logs:CreateLogStream",
              "logs:PutLogEvents"
            ],
            "Resource": [
              "arn:aws:logs:eu-west-1:000000000000:log-group:/aws/lambda/ssm-paramstore-updates-webhook:*"
            ]
          }
        ]
      },
      "name": "LambdaBasicExeRole",
      "type": "inline"
    },
    {
      "document": {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
              "kms:DescribeKey",
              "ssm:GetParameter"
            ],
            "Resource": [
              "arn:aws:kms:eu-west-1:000000000000:key/*",
              "arn:aws:ssm:eu-west-1:000000000000:parameter/myorg/myteam/slack/webhooks/ssm-paramstore-updates-webhook",
              "arn:aws:ssm:eu-west-1:000000000000:parameter/myorg/myteam/slack/webhooks/system-eventsupdates-webhook"
            ]
          },
          {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "ssm:GetParameterHistory",
            "Resource": "arn:aws:ssm:*:*:parameter/*"
          }
        ]
      },
      "name": "readonly-ssm-paramstore-updates-webhook",
      "type": "inline"
    }
  ],
  "trustedEntities": [
    "lambda.amazonaws.com"
  ]
}

在我使用ssm:getParameterHistory之前，有ssm:descripeParameters，但我需要获得一些版本信息，因此进行了更改。所有的东西都在同一个区域，lambda和参数。

Answer 1

发现需要访问密钥的lambda角色需要作为KMS中的密钥用户添加。基本上，需要向角色（或用户）授予权限，使其使用密钥对机密执行加密/解密。

这是从KMS控制台完成的，单击客户管理密钥列表中的密钥名称（假设它是您自己创建的密钥），向下滚动到密钥用户，并将需要使用该密钥的角色添加到允许用户列表中。