¿Cómo soluciono el error de política de claves de AWS KMS?

Descripción corta

Si no modificaste correctamente la política de claves de AWS KMS, se producirá un error en la operación PutKeyPolicy de la API de AWS KMS. Es posible que recibas uno de los siguientes mensajes de error:

"PutKeyPolicy request failed MalformedPolicyDocumentException - Policy contains a statement with one or more invalid principals."

"Policy contains a statement with one or more invalid principals"

Para resolver este problema, completa una o más de las siguientes acciones de resolución.

Resolución

Uso de una sintaxis JSON válida

Confirma que utilizas un tipo de recurso de documento de política JSON válido. Para solucionar errores de sintaxis de JSON, pega el documento de política de JSON en una herramienta de formato de JSON. Elimina los caracteres innecesarios y, a continuación, incluye los caracteres que falten. Asegúrate de eliminar cualquier elemento de política JSON y valores de identificación de seguridad (SID) duplicados.

Especificación de los elementos principales

En el elemento principal de la política de JSON, confirma que has creado una identidad de AWS Identity and Access Management (IAM) y un nombre de recurso de Amazon (ARN) válido.

La política de claves solo está en vigor en la región de AWS que contiene la clave de AWS KMS. Si la política de claves de AWS KMS tiene permisos para otra cuenta de AWS o entidad principal, es posible que la política de claves no esté en vigor. Asegúrate de que tu política de claves contenga la clave de AWS KMS en la región correcta.

Debes especificar el elemento principal como identidad de IAM. Si has especificado un servicio de AWS como entidad principal, asegúrate de que AWS KMS lo admite. Para los servicios de AWS que admiten la clave de condición y realizan las solicitudes con una sesión de acceso directo, utiliza la clave de condición de AWS KMS kms:ViaService.

Los servicios de AWS que realizan llamadas directas a AWS KMS deben tener la entidad principal de servicio en el Elemento principal. Comprueba que el servicio de AWS que utilizas llame directamente a AWS KMS.

Activación de la región

La cuenta con la que compartes las claves de AWS KMS debe tener activa la región de AWS en la cuenta del destinatario. Asegúrate de activar la región en la cuenta del destinatario. También puedes compartir otra clave de AWS KMS en una región que esté activada en la cuenta de AWS y en la cuenta del destinatario.