SNSとSQSのクロスアカウント設定（KMSで暗号化）

SNSからメッセージをAWSの別アカウントSQSに送ってKMSで暗号化する設定をしたのでやり方を紹介します。

どういうことか分かりやすく図で書くと、以下のようになります。 AWSアカウントA(111111111111)のSNS(simple-sns)から、AWSアカウントB(222222222222)のSQS(simple-sqs)に対してメッセージを送ってKMS(simple-kms)でメッセージを暗号化してSQSで保持するようにします。

f:id:ha107chan:20210409225546p:plain — Account AのSNSからAccount BのSQSにメッセージを送る

手順

1. SNSトピックを作成 @AWSアカウントA
2. KMSを作成 @AWSアカウントB
3. SQSキューを作成 @AWSアカウントB
4. SQS側でSNSをサブスクライブするように設定 @AWSアカウントB
5. SNSからメッセージの送信テスト @AWSアカウントA
6. SQSからメッセージの受信確認 @AWSアカウントB
参考

アカウントを跨いだクロスアカウントの設定では、権限設定が複雑になり、各リソース（SNS, SQS, KMS）に対してリソースポリシーを設定する必要があります。各リソースに設定するリソースポリシーの説明も手順と合わせて紹介します。

1. SNSトピックを作成 @AWSアカウントA

AWSコンソールからSNSトピックを作成します。

今回は、standardで作成をしました。FIFOでも大丈夫だとは思いますが、検証はしていません。
SNS(simple-topic)のリソースポリシーに設定するstatementは以下です。
- AWSアカウントB(222222222222) から、simple-sns に対する SNS:Subscribe の許可を設定（余談ですが、SNS:Receive は不要かもしれません。コンソールでポリシーを自動作成した時に付与されたのですが、SNSのドキュメントを見ても SNS:Receive の説明はありませんでした。）

{
  "Sid": "__console_sub_0",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::222222222222:root"
  },
  "Action": [
    "SNS:Subscribe",
    "SNS:Receive"
  ],
  "Resource": "arn:aws:sns:ap-northeast-1:111111111111:simple-sns"
}

2. KMSを作成 @AWSアカウントB

今度は、AWSアカウントBにログインして、SQSでデータ暗号化の時に利用するKMSを作成します。AWS managed keysでも aws/sqs というエイリアス名でSQSのためのKMSがありますがこれは利用しません。なぜなら、AWS managed keysのリソースポリシーは変更することが出来ないので、SNSがKMSを利用できるように設定できないからです。Customer managed keysを使えば、SNSサービスがSQSのデータを暗号化できるポリシーを設定できます。

適当なエイリアス名でCustomer managed keyを作成して、Key policyには以下のstatementを追加しておきます。
- このstatementによって、SNSはSQSのデータ暗号化（ViaService）をするときに限ってKMSのGenerateDataKey, Decryptアクションを利用できるようになります。

{
    "Sid": "SnsStatement",
    "Effect": "Allow",
    "Principal": {
        "Service": "sns.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "sqs.ap-northeast-1.amazonaws.com"
        }
    }
}

3. SQSキューを作成 @AWSアカウントB

AWSアカウントAからのメッセージを受け取るSQSを、AWSアカウントBのコンソールから作成します。

sqsの名前は、simple-sqsとします。
タイプはスタンダードです。
この作成時には、Access policyはデフォルトのままにして変更はしません。後で設定します。
Encryptionでは、先ほど作成した Customer managed key のエイリアスを指定します。

4. SQS側でSNSをサブスクライブするように設定 @AWSアカウントB

AWSアカウントBのコンソールから、SNSをサブスクライブするようにSQSを設定します。

SQSの設定画面から、"SNS subscriptions" をクリック
"Subscribe to Amazon SNS topic" をクリック
AWSアカウントAのSNSリソース(simple-sns)のARNを入力
Account A（111111111111）のSNSのARNを設定
"Save" をクリック
- Subscribed successfully to topic arn:aws:sns:ap-northeast-1:111111111111:simple-sns と緑色の背景で表示されれば成功です。
- SQSのAccess Policyには以下のStatementが追加されます。
  - SQSのAccess Policyが変更されていることからわかるように、コンソールでの作業ではSQSの操作権限が必要になります。権限エラーになった場合はより強いSQSの捜査権限をもつIAMユーザで作業するか、権限を付与してもらってください。

{
  "Sid": "topic-subscription-arn:aws:sns:ap-northeast-1:111111111111:simple-sns",
  "Effect": "Allow",
  "Principal": {
    "AWS": "*"
  },
  "Action": "SQS:SendMessage",
  "Resource": "arn:aws:sqs:ap-northeast-1:222222222222:simple-sqs",
  "Condition": {
    "ArnLike": {
      "aws:SourceArn": "arn:aws:sns:ap-northeast-1:111111111111:simple-sns"
    }
  }
}