将IAM策略附加到SNS主题

Question

我正在尝试按照本指南将消息从未加密的SNS主题传递到加密的SQS队列。我能够完成“为AWS服务配置KMS权限”步骤，但在“为生产者配置KMS权限”步骤中遇到了问题。我已经创建了IAM角色，但是将这个角色附加到我的SNS主题是我特别困惑的地方。以下是我自己的研究无法回答的一些问题：

• IAM角色是否可以附加到特定项目（SNS主题、SQS队列等）？如果没有，还有什么其他方法可以授予特定项目的权限
• 当说明书提到“制作人”时，这是指SNS主题还是指拥有SNS主题的AWS帐户

非常感谢您的任何帮助。

编辑：

以下是我当前的AWS KMS关键政策：

{
    "Version": "2012-10-17",
    "Id": "key-consolepolicy-3",
    "Statement": [
        {
            "Sid": "Allow administration of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::${aws_account_id}:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow SNS to use KMS",
            "Effect": "Allow",
            "Principal": {
                "Service": "sns.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

每当我将以下语句添加到列表中的KMS密钥策略中时，就会出现错误“MalformedPolicyDocumentException-策略包含没有主体的语句”：

{
    "Effect": "Allow",
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "${kms_customer_managed_key_arn}"
},
{
    "Effect": "Allow",
    "Action": [
        "sqs:SendMessage"
    ],
    "Resource": "${sqs_queue_arn}"
}

Answer 1

如果没有，还有什么其他方法可以授予特定项目的权限？

链接中的权限附加到您的KMS CMK密钥策略。

当说明书提到“制作人”时，这是指SNS主题还是指拥有SNS主题的AWS帐户？

生产者是发送消息的任何人或任何东西。它可以是lambda函数、ec2实例或IAM用户/角色。在这种情况下，您授予生产者sendMessage的权限并使用KMS密钥。对于lambda，它将处于lambda执行角色，例如，它将处于实例角色。