Dar permiso a Amazon Personalize para utilizar suAWS KMSclave

Si usaAWS Key Management Service(AWS KMS) para el cifrado, debe conceder a Amazon Personalize y su función de servicio (la función que creó enCreación de un rol de IAM para Amazon Personalize) descifrar los permisos de la clave. Para conceder permisos, añada su función de servicio y Amazon Personalize como principios en su política clave. Para el registroAction, agregue lakms:Decryptaction. Para exportar datos, si el grupo de conjunto de datos usa unAWS KMSclave para el cifrado, debe agregar lakms:GenerateDataKeyWithoutPlaintextaction.

Los siguientes ejemplos deAWS KMSEl ejemplo de política otorga a Amazon Personalize y a su función de servicio los permisos mínimos para acceder a los recursos cifrados por su clave. Para obtener más información sobre lasAWS KMSpolíticas de claves, consulteUso de políticas de claves enAWS KMSen laAWS Key Management ServiceGuía para desarrolladores.

{
  "Version": "2012-10-17",
  "Id": "key-policy-123",
  "Statement": [
    {
      "Sid": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<account-id>:role/<personalize-role-name>",
        "Service": "personalize.amazonaws.com"
      },
      "Action": "kms:Decrypt",
      "Resource": "*"
    }
  ]
}