AWS Config
开发人员指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 Amazon AWS 入门

Amazon SNS 主题的权限

只有在您希望配置 AWS Config,传送您的账户另一账户拥有的 Amazon SNS 主题时,才使用此主题中的信息。AWS Config 必须具有将通知发送到 Amazon SNS 主题的权限。

使用 IAM 角色时 Amazon SNS 主题的必需权限

您可以将权限策略附加到不同账户拥有的 Amazon SNS 主题。如果您希望使用另一账户的 Amazon SNS 主题,请确保将以下策略附加到现有的 Amazon SNS 主题。

{ "Id": "Policy1415489375392", "Statement": [ { "Sid": "AWSConfigSNSPolicy20150201", "Action": [ "SNS:Publish" ], "Effect": "Allow", "Resource": "arn:aws:sns:region:account-id:myTopic", "Principal": { "AWS": [ "account-id1", "account-id2", "account-id3", ] } } ] }

对于 Resource 键,account-id 为主题所有者的账号。对于 account-id1account-id2account-id3,使用 AWS 账户将数据发送到 Amazon SNS 主题。您必须用适当的值替换 regionmyTopic

使用服务相关角色时 Amazon SNS 主题的必需权限

如果您使用服务相关角色来设置 AWS Config,则您需要将权限策略附加到 Amazon SNS 主题。如果您希望使用您自己的账户中的 Amazon SNS 主题,请确保将以下策略附加到现有的 Amazon SNS 主题。

{ "Id": "Policy_ID", "Statement": [ { "Sid": "AWSConfigSNSPolicy", "Effect": "Allow", "Principal": { "AWS": "[configRoleArn]" }, "Action": "SNS:Publish", "Resource": "arn:aws:sns:region:account-id:myTopic" } ] }

您必须用适当的值替换 regionaccount-idmyTopic

注意

AWS Config 不建议在其他账户中的 Amazon SNS 主题时使用服务相关角色。

Amazon SNS 主题问题排查

AWS Config 必须具有将通知发送到 Amazon SNS 主题的权限。如果 Amazon SNS 主题无法接收通知,请验证 AWS Config 担任的 IAM 角色是否必须具有 sns:publish 权限。