如何使用CloudFormation从别名获取AWS SSM Key Arn？

Question

是否可以使用别名使用CloudFormation获得KMS密钥ARN？我想对我的AWS账户中的密钥赋予特定权限。

类似于以下内容？

  - Effect: Allow
    Action: kms:Decrypt
    Resource:
      - 'Fn::GetAtt': 
        - 'alias/someAliasOfAKMSKey'
        - 'arn'

Answer 1

您可以执行以下操作：

- Effect: Allow
  Action:
  - kms:Decrypt
  Resource:
  - !Sub 'arn:aws:kms:${AWS::Region}:${AWS::AccountId}:alias/someAliasOfAKMSKey'
  - !Sub 'arn:aws:kms:${AWS::Region}:${AWS::AccountId}:key/someKeyNameOfAKMSKey'