Как автоматически масштабировать экземпляры ec2 с зашифрованным корневым томом?

Я пытаюсь настроить автоматическое масштабирование в AWS, где шаблон запуска узла включает шифрование корневого тома (EBS). Я настроил роль, связанную с сервисом, и CMK в Amazon KMS с политикой IAM в соответствии с документация.

Однако, когда ASG пытается создать экземпляры, я получаю следующую ошибку:

Launching a new EC2 instance: i-0123456789xxx. Status Reason: Instance became unhealthy while waiting for instance to be in InService state. Termination Reason: Client.InternalError: Client error on launch

В документация по устранению неполадок просто указывает на исходную документацию и предполагает, что политика IAM настроена неправильно - хотя я изо всех сил пытаюсь понять, что не так.

Связанная со службой роль настроена в ASG: SLR на ASG, и SLR имеет правильные разрешения в политике IAM для ключа, который использовался для шифрования тома:

{
        "Sid": "Allow use of the key",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::0123456789:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
        },
        "Action": [
            "kms: Encrypt",
            "kms: Decrypt",
            "kms: ReEncrypt*",
            "kms: GenerateDataKey*",
            "kms: DescribeKey"
        ],
        "Resource": "*"
    },
    {
        "Sid": "Allow attachment of persistent resources",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::0123456789:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
        },
        "Action": [
            "kms: CreateGrant",
            "kms: ListGrants",
            "kms: RevokeGrant"
        ],
        "Resource": "*",
        "Condition": {
            "Bool": {
                "kms:GrantIsForAWSResource": "true"
            }
        }
    }

Обратите внимание, что запуск того же AMI вручную с указанием того, что корневой том зашифрован тем же ключом, работает. Возможно, это говорит о проблеме с SLR?

Или мне нужно создать AMI, в котором корневой том уже зашифрован?

ОБНОВЛЕНИЕ 05.11.2020:

Оказывается, произошла ошибка форматирования - после каждого двоеточия в разделе «Действия» стоит пробел. Удаление этого устранило его, и теперь оно работает, как ожидалось.

{
        "Sid": "Allow use of the key",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::0123456789:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
        },
        "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
        ],
        "Resource": "*"
    },
    {
        "Sid": "Allow attachment of persistent resources",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::0123456789:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
        },
        "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
        ],
        "Resource": "*",
        "Condition": {
            "Bool": {
                "kms:GrantIsForAWSResource": "true"
            }
        }
    }