L'esecuzione automatica del piano riporta le autorizzazioni

Di seguito è riportato un esempio di policy da allegare se si configura la generazione automatica di report per un piano di cambio di regione. Questa policy include le autorizzazioni per scrivere report su Amazon S3, accedere ai dati di CloudWatch allarme e recuperare le informazioni sui piani figlio per i piani per genitori.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarms",
        "cloudwatch:DescribeAlarmHistory"
      ],
      "Resource": [
        "arn:aws:cloudwatch:us-east-1:111122223333:alarm:app-health-primary",
        "arn:aws:cloudwatch:us-west-2:111122223333:alarm:app-health-secondary"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "arc-region-switch:GetPlanExecution",
        "arc-region-switch:ListPlanExecutionEvents"
      ],
      "Resource": [
        "arn:aws:arc-region-switch::111122223333:plan/child-plan-1/abcde1",
        "arn:aws:arc-region-switch::111122223333:plan/child-plan-2/fghij2"
      ]
    }
  ]
}

Nota: se configuri una AWS KMS chiave gestita dal cliente per la crittografia dei bucket di Amazon S3, devi aggiungere anche le autorizzazioni per kms:GenerateDataKey la kms:Encrypt chiave.