【AWS】AWS KMS キーポリシーは CloudTrail に十分なアクセス権を付与しません。エラー
◆エラー内容
CloudTrailでKMSを使った暗号化を設定しようとしたら以下エラーが発生した。
「AWS KMS キーポリシーは CloudTrail に十分なアクセス権を付与しません。」
◆解決策
以下を設定して解決
設定AWS KMSCloudTrail の重要なポリシー
具体的には、KMSのポリシーに以下を追加した。
{
"Sid": "Allow CloudTrail to encrypt logs",
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": "kms:GenerateDataKey*",
"Resource": "*",
"Condition": {
"StringLike": {
"kms:EncryptionContext:aws:cloudtrail:arn": [
"arn:aws:cloudtrail:*:【aws-account-id】:trail/*"
]
}
}
},
{
"Sid": "Enable CloudTrail log decrypt permissions",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::【aws-account-id】:root",
"arn:aws:iam::【aws-account-id】:user/【username】"
]
},
"Action": "kms:Decrypt",
"Resource": "*",
"Condition": {
"Null": {
"kms:EncryptionContext:aws:cloudtrail:arn": "false"
}
}
},
{
"Sid": "Allow CloudTrail access",
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": "kms:DescribeKey",
"Resource": "*"
},
