Permissões de relatórios automáticos de execução de planos

Veja a seguir um exemplo de política a ser anexada se você configurar a geração automática de relatórios para um plano de mudança de região. Essa política inclui permissões para escrever relatórios no Amazon S3, acessar dados de CloudWatch alarmes e recuperar informações de planos infantis para planos principais.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarms",
        "cloudwatch:DescribeAlarmHistory"
      ],
      "Resource": [
        "arn:aws:cloudwatch:us-east-1:111122223333:alarm:app-health-primary",
        "arn:aws:cloudwatch:us-west-2:111122223333:alarm:app-health-secondary"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "arc-region-switch:GetPlanExecution",
        "arc-region-switch:ListPlanExecutionEvents"
      ],
      "Resource": [
        "arn:aws:arc-region-switch::111122223333:plan/child-plan-1/abcde1",
        "arn:aws:arc-region-switch::111122223333:plan/child-plan-2/fghij2"
      ]
    }
  ]
}

Observação: se você configurar uma AWS KMS chave gerenciada pelo cliente para criptografia de bucket do Amazon S3, também deverá adicionar kms:GenerateDataKey kms:Encrypt permissões para a chave.