Autorizzazioni per l'esecuzione automatica dei report di esecuzione del piano

Di seguito è riportato un esempio di politica da allegare se si configura la generazione automatica di report per un piano di cambio di regione. Questa politica include le autorizzazioni per scrivere report su Amazon S3, CloudWatch accedere ai dati degli allarmi e recuperare informazioni sui piani figlio per i piani genitori.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarms",
        "cloudwatch:DescribeAlarmHistory"
      ],
      "Resource": [
        "arn:aws:cloudwatch:us-east-1:123456789012:alarm:app-health-primary"
        "arn:aws:cloudwatch:us-west-2:123456789012:alarm:app-health-secondary"
      ],
    },
    {
      "Effect": "Allow",
      "Action": [
        "arc-region-switch:GetPlanExecution",
        "arc-region-switch:ListPlanExecutionEvents"
      ],
      "Resource": [
        "arn:aws:arc-region-switch:us-east-1:123456789012:plan/child-plan-1/abcde1",
        "arn:aws:arc-region-switch:us-west-2:123456789012:plan/child-plan-2/fghij2"
      ],
    }
  ]
}

Nota: se configuri una AWS KMS chiave gestita dal cliente per la crittografia dei bucket Amazon S3, devi anche aggiungere le autorizzazioni kms:GenerateDataKey e kms:Encrypt le autorizzazioni per la chiave.