如何使用加密的 DLQ 将 Redrive 策略添加到 SNS

Question

我有一个由两个 lambda 订阅的 SNS（使用 KMS 加密）。 我正在尝试向其中一个订阅添加 Redrive 策略。 有问题的 DLQ 是加密的。

添加重新驱动策略给我一个错误“无法检查 Amazon SQS 队列权限。 确保队列存在并且您的帐户有权读取队列的属性。 要允许 Amazon SNS 主题将消息发送到 Amazon SQS 队列，您必须创建一个 Amazon SQS 队列策略'

我曾尝试在 DLQ 队列上授予 SNS 解密权限。 但没有运气。 任何线索？

Answer 1

即使它在控制台中显示警报，该功能似乎仍在工作。 即使控制台显示警报，消息也会在 lambda 失败时发送到 DLQ。

Answer 2

我已联系 AWS Support，这是一个已知的 UI 问题。 到目前为止，仍然没有确认修复的预计到达时间。

但是，要解决此问题，您可以将 SQS Access Policy Principal部分从

"Principal": {
  "Service": "sns.amazonaws.com"
},

到

"Principal": "*",

Answer 3

假设您已将AWS 文档中的 SQS 队列策略与委托人"Service":"sns.amazonaws.com"那么错误消息是由控制台使用 IAM 策略模拟但没有传递委托人这一事实引起的。

将委托人更改为"AWS":"*"将使策略模拟成功，从而消除错误。

使用通配符是安全的，前提是您有条件限制仅从特定 SNS 主题的访问，如AWS 文档中的先决条件中所述。