AWS GuarDutyでS3バケットへのログ保存について

覚書です。
１．AWS GuarDutyを有効にする
２．S3バケットへのログ保存のためGuarDuty画面から
　　［設定］－［結果のエクスポートオプション］でS3バケットを新規に作成し保存をするが
　　KMSが無いので失敗

３．KMSキーをKMS Console画面から作成する
４．GuarDuty画面に戻って再度KMSキー（エイリアスが選択できる）を選択してほぞんするが失敗
５．KMS Console画面に戻って［カスタマー管理型のキー］で対象のエイリアスを選択し
　　キーポリシーエディタを編集で開く※これを実施しないとずーっとエラー

　　{
"Sid": "Allow GuardDuty to use the key",
"Effect": "Allow",
"Principal": {
"Service": "guardduty.amazonaws.com"
},
"Action": "kms:GenerateDataKey",
"Resource": "*"
　　}

　　上記内容を適当な場所に追加して保存

６．再度GuardDuty画面からS3バケット作成、キー選択、保存することで成功

７．6時間おきに収集していたので翌日確認したところ年＞月＞日　のフォルダにgzファイルとして
　　保存されていた。

以上