为什么像 S3 (arn:aws:s3:::) 这样的 IAM 角色语句不适用于 SQS 等其他 AWS 资源？

Question

一段时间以来，我已经成功地将 IAM 角色语句放入我的 serverless.yml 以进行 S3 访问，并假设我添加 SQS 时一切都会类似。 我采用了非常简单的 arn:aws:s3::: 并将 s3 替换为 SQS，如下所示：

  iam:
role:
  statements:
    - Effect: 'Allow'
      Action:
        - 's3:ListBucket'
      Resource:
        Fn::Join:
          - ''
          - - 'arn:aws:s3:::'
            - mahtestbucket
    - Effect: 'Allow'
      Action:
        - 's3:GetObject'
      Resource:
        Fn::Join:
          - ''
          - - 'arn:aws:s3:::'
            - mahtestbucket
            - '/*'

    - Effect: 'Allow'
      Action:
        - 's3:ListBucket'
      Resource:
        Fn::Join:
          - ''
          - - 'arn:aws:s3:::'
            - mahfailbucket
    - Effect: 'Allow'
      Action:
        - 's3:PutObject'
      Resource:
        Fn::Join:
          - ''
          - - 'arn:aws:s3:::'
            - mahfailbucket
            - '/*'
    - Effect: 'Allow'
      Action:
        - 'sqs:SendMessage'
        - 'sqs:GetQueueUrl'
        - 'sqs:GetQueueAttributes'
      Resource:
        Fn::Join:
          - ''
          - - 'arn:aws:sqs:::'
            - mahqueue

这部署没有错误。 我可以看到政策声明，但它不起作用。 lambda 函数在尝试访问 SQS 资源时失败。

Answer 1

我决定用我自己的答案发布这个，因为我浪费了几个小时来验证正在创建的策略并确定发生了什么。 我相信由于 S3 通常不包含区域定义，并且存储桶是全局的，因此更简单的规范有效。 然而，SQS 和可能大多数其他资源都需要这些东西。 一旦我确定这可能是问题所在，就需要进行一些研究才能使正确的语法正常工作：

        - Effect: 'Allow'
      Action:
        - 'sqs:SendMessage'
        - 'sqs:GetQueueUrl'
        - 'sqs:GetQueueAttributes'
        - 'sqs:ListQueues'
      Resource:
        Fn::Join:
          - ''
          - - !Sub 'arn:aws:sqs:${AWS::Region}:${AWS::AccountId}:'
            - mahqueue