Come posso risolvere l'errore della policy della chiave AWS KMS?

Breve descrizione

Se non hai modificato correttamente la policy della chiave AWS KMS, l'operazione API di AWS KMS PutKeyPolicy ha esito negativo. In tal caso, potresti ricevere uno dei seguenti messaggi di errore:

"PutKeyPolicy request failed MalformedPolicyDocumentException - Policy contains a statement with one or more invalid principals."

"Policy contains a statement with one or more invalid principals"

Per risolvere il problema, intraprendi una o più delle seguenti azioni di risoluzione.

Risoluzione

Utilizza una sintassi JSON valida

Verifica di utilizzare un tipo di risorsa valido per il documento di policy JSON. Per risolvere gli errori di sintassi JSON, incolla il documento di policy JSON in uno strumento di formattazione JSON. Rimuovi i caratteri non necessari e includi i caratteri mancanti. Assicurati di rimuovere eventuali elementi della policy JSON e valori SID (Security Identifying) duplicati.

Specifica l'elemento Principale

Nell'elemento Principale della policy JSON, verifica di aver creato un'identità AWS Identity and Access Management (AWS IAM) e un nome della risorsa Amazon (ARN) valido.

La policy della chiave è valida solo nella Regione AWS che contiene la chiave AWS KMS. Se la policy della chiave AWS KMS ha le autorizzazioni per un altro principale o account AWS, potrebbe non essere valida. Assicurati che la tua policy della chiave contenga la chiave AWS KMS nella Regione corretta.

Devi specificare l'elemento Principale come identità IAM. Se come principale è indicato un servizio AWS, assicurati che AWS KMS supporti il servizio. Per i servizi AWS che supportano la chiave di condizione ed effettuano le richieste con una sessione di accesso diretto, utilizza la chiave di condizione AWS KMS kms:ViaService.

I servizi AWS che effettuano chiamate dirette ad AWS KMS devono avere il principale del servizio nell'elemento Principale. Verifica che il servizio AWS che utilizzi chiami direttamente AWS KMS.

Attiva la Regione

L'account con cui condividi le chiavi AWS KMS deve attivare la Regione nell'account del destinatario. Assicurati di attivare la Regione nell'account del destinatario. Puoi anche condividere un'altra chiave AWS KMS in una Regione che hai attivato nell'account AWS e nell'account del destinatario.