无法以编程方式为SQS队列授予SNS主题权限

Question

我尝试使用.NET客户端启用SNS主题将消息发送到给定的SQS队列：

var policy = new Policy()
{
    Statements = new List<Statement>() {
        new Statement(Statement.StatementEffect.Allow) {
            Principals = new List<Principal>() { Principal.AllUsers },
            Actions = new List<ActionIdentifier>() { SQSActionIdentifiers.SendMessage },
            Conditions = new List<Condition>
            {
                ConditionFactory.NewCondition(ConditionFactory.ArnComparisonType.ArnEquals, "aws:SourceArn", topicArn)
            }
        }
    }
};

var request = new SetQueueAttributesRequest()
{
    QueueUrl = queueUrl,
    Attributes = new Dictionary<string, string>
    {
        { QueueAttributeName.Policy, policy.ToJson()}
    }
};
sqs.SetQueueAttributes(request);

这会生成不起作用的策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "<sid>",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "sqs:SendMessage",
      "Condition": {
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:sns:us-west-2:<id>:testTopic2"
        }
      }
    }
  ]
}

但是，如果我删除此策略并手动添加它，它可以工作，它看起来几乎相同，但有一些不同之处：

{
  "Version": "2012-10-17",
  "Id": "arn:aws:sqs:us-west-2:<id>:testQueue2/SQSDefaultPolicy",
  "Statement": [
    {
      "Sid": "<sid2>",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "SQS:SendMessage",
      "Resource": "arn:aws:sqs:us-west-2:<id>:testQueue2",
      "Condition": {
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:sns:us-west-2:<id>:testTopic2"
        }
      }
    }
  ]
}

程序化的一个：

• 缺乏Id 。
• 说"Principal" : "{ AWS: "*"}而不是"Principal" : "*" 。

我试图将Id和主体设置为自定义但我只获得HTTP 400s。

哪个是使用.NET客户端向SNS主题发送消息到SQS队列的权限的正确方法？

完整的例子

Answer 1

您的代码生成的JSON中缺少的最重要的部分是

  "Resource": "arn:aws:sqs:us-west-2:<id>:testQueue2"

如果不指定Resource，IAM无法判断您授予访问权限的资源。

然后你可以像这样添加一个Resource对象：

  new Statement(Statement.StatementEffect.Allow) {
     Principals = new List<Principal>() { Principal.AllUsers },
     Resources = new List<Principal>() { new Resource("arn:aws:sqs:us-west-2:<id>:testQueue2") }
  ....

（我不是C＃pro，所以语法可能有问题，但你已经明白了。）