AWS Config
开发人员指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

Amazon SNS 主题的权限

仅在要配置 AWS Config 以传送由您的账户或其他账户拥有的 Amazon SNS 主题时,才使用本主题中的信息。AWS Config 必须具有将通知发送到 Amazon SNS 主题的权限。

使用 IAM 角色时 Amazon SNS 主题的必需权限

您可以将权限策略附加到不同账户拥有的 Amazon SNS 主题。如果要使用另一个账户中的 Amazon SNS 主题,请确保将以下策略附加到现有 Amazon SNS 主题。

{ "Id": "Policy1415489375392", "Statement": [ { "Sid": "AWSConfigSNSPolicy20150201", "Action": [ "SNS:Publish" ], "Effect": "Allow", "Resource": "arn:aws:sns:region:account-id:myTopic", "Principal": { "AWS": [ "account-id1", "account-id2", "account-id3", ] } } ] }

对于 Resource 键,account-id 为主题所有者的账号。对于 account-id1account-id2account-id3,使用 AWS 账户将数据发送到 Amazon SNS 主题。您必须用适当的值替换 regionmyTopic

使用服务相关角色时 Amazon SNS 主题的必需权限

如果您使用服务相关角色来设置 AWS Config,则需要将权限策略附加到 Amazon SNS 主题。如果要使用您自己的账户中的 Amazon SNS 主题,请确保将以下策略附加到现有 Amazon SNS 主题。

{ "Id": "Policy_ID", "Statement": [ { "Sid": "AWSConfigSNSPolicy", "Effect": "Allow", "Principal": { "AWS": "[configRoleArn]" }, "Action": "SNS:Publish", "Resource": "arn:aws:sns:region:account-id:myTopic" } ] }

您必须用适当的值替换 regionaccount-idmyTopic

注意

AWS Config 不建议在使用其他账户中的 Amazon SNS 主题时使用服务相关角色。

Amazon SNS 主题问题排查

AWS Config 必须具有将通知发送到 Amazon SNS 主题所需的权限。如果 Amazon SNS 主题无法接收通知,请验证 AWS Config 代入的 IAM 角色是否必须具有 sns:publish 权限。