对ssm参数调用ssm:GetParameterHistory时出现AWS:AccessDeniedException

Question

我正在尝试编写一个lambda，它侦听来自CloudWatch的参数存储更改事件，并通过调用boto3.client('ssm').get_parameter_history(Name=event["name"],WithDecryption=True)获取参数的历史数据。此方法失败，并显示消息：

botocore.exceptions.ClientError：调用GetParameterHistory操作时发生错误(AccessDeniedException(：密文指的是不存在、在此区域中不存在或不允许您访问的客户主密钥。(服务：AWSKMS；状态代码：400；错误代码：AccessDeniedException；请求ID:等等等等(

以下是lambda的执行角色：

{
"roleName": "myapp-paramstore-updates-webhook-role",
"policies": [
{
"document": {
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "logs:CreateLogGroup",
"Resource": "arn:aws:logs:eu-west-1:000000000000:*"
},
{
"Effect": "Allow",
"Action": [
"logs:CreateLogStream",
"logs:PutLogEvents"
],
"Resource": [
"arn:aws:logs:eu-west-1:000000000000:log-group:/aws/lambda/ssm-paramstore-updates-webhook:*"
]
}
]
},
"name": "LambdaBasicExeRole",
"type": "inline"
},
{
"document": {
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"kms:DescribeKey",
"ssm:GetParameter"
],
"Resource": [
"arn:aws:kms:eu-west-1:000000000000:key/*",
"arn:aws:ssm:eu-west-1:000000000000:parameter/myorg/myteam/slack/webhooks/ssm-paramstore-updates-webhook",
"arn:aws:ssm:eu-west-1:000000000000:parameter/myorg/myteam/slack/webhooks/system-eventsupdates-webhook"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "ssm:GetParameterHistory",
"Resource": "arn:aws:ssm:*:*:parameter/*"
}
]
},
"name": "readonly-ssm-paramstore-updates-webhook",
"type": "inline"
}
],
"trustedEntities": [
"lambda.amazonaws.com"
]
}

在我使用ssm:GetParameterHistory之前，有ssm:DescribeParameters，但我需要获得一些版本信息，因此进行了更改。所有的东西都在同一个区域，lambda和参数。

为了修复此问题，我现在需要什么额外的权限以及对什么资源的权限？

Answer 1

发现需要访问密钥的lambda角色需要作为密钥用户添加到KMS中。基本上，需要授予角色(或用户(使用密钥对机密进行加密/解密的权限。

这是从KMS控制台完成的，单击客户管理密钥列表中的密钥名称(假设这是您自己创建的密钥(，向下滚动到关键用户，并将需要使用该密钥的角色添加到允许用户列表中。