为什么aws lambda收到“AccessDeniedExceptionKMS”错误消息？

Question

我刚刚将lambda（使用gitlab runner中的Terraform）部署到一个新的aws帐户。此管道将lambda部署到另一个（dev/test）帐户而没有问题，但是当我尝试部署到我的prod帐户时，我得到以下错误：

我在反复强调这句话，“密文指的是一个客户主密钥，它不存在，在这个地区不存在，或者不允许您访问。”

我已经确认，env vars的加密配置设置为使用默认的aws/lambda密钥而不是客户主密钥。这似乎与客户主密钥错误的语言相矛盾...？

lambda承担的角色确实有一项政策，其中包括两个公里行动：

        "Sid": "AWSKeyManagementService",

        "Action": [

            "kms:Decrypt",

            "kms:DescribeKey"

        ]

通过消除过程，我想知道问题是否在于kms密钥上基于资源的政策方面的不足。查看aws managed下的kms密钥，我发现aws/lambda密钥具有以下密钥策略：

{
    "Version": "2012-10-17",
    "Id": "auto-awslambda",
    "Statement": [
        {
            "Sid": "Allow access through AWS Lambda for all principals in the account that are authorized to use AWS Lambda",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com",
                    "kms:CallerAccount": "REDACTED"#<-- Account where lambda deployed
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::REDACTED:root"#<-- Account where lambda deployed
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}

这就很让人费解了。任何指针赞赏！

Answer 1

只需删除lambda，然后重新运行管道以重新部署它，就可以解决这个问题。我所能得出的结论是，在第一次部署中有些东西被破坏了。