Izin laporan eksekusi rencana otomatis

Berikut ini adalah contoh kebijakan untuk dilampirkan jika Anda mengonfigurasi pembuatan laporan otomatis untuk paket peralihan Wilayah. Kebijakan ini mencakup izin untuk menulis laporan ke Amazon S3, CloudWatch mengakses data alarm, dan mengambil informasi paket anak untuk paket induk.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarms",
        "cloudwatch:DescribeAlarmHistory"
      ],
      "Resource": [
        "arn:aws:cloudwatch:us-east-1:123456789012:alarm:app-health-primary"
        "arn:aws:cloudwatch:us-west-2:123456789012:alarm:app-health-secondary"
      ],
    },
    {
      "Effect": "Allow",
      "Action": [
        "arc-region-switch:GetPlanExecution",
        "arc-region-switch:ListPlanExecutionEvents"
      ],
      "Resource": [
        "arn:aws:arc-region-switch:us-east-1:123456789012:plan/child-plan-1/abcde1",
        "arn:aws:arc-region-switch:us-west-2:123456789012:plan/child-plan-2/fghij2"
      ],
    }
  ]
}

Catatan: Jika Anda mengonfigurasi AWS KMS kunci terkelola pelanggan untuk enkripsi bucket Amazon S3, Anda juga harus menambahkan kms:GenerateDataKey dan kms:Encrypt mengizinkan kunci tersebut.