如何使用加密的 DLQ 將 Redrive 策略添加到 SNS

Question

我有一個由兩個 lambda 訂閱的 SNS（使用 KMS 加密）。 我正在嘗試向其中一個訂閱添加 Redrive 策略。 有問題的 DLQ 是加密的。

添加重新驅動策略給我一個錯誤“無法檢查 Amazon SQS 隊列權限。 確保隊列存在並且您的帳戶有權讀取隊列的屬性。 要允許 Amazon SNS 主題將消息發送到 Amazon SQS 隊列，您必須創建一個 Amazon SQS 隊列策略'

我曾嘗試在 DLQ 隊列上授予 SNS 解密權限。 但沒有運氣。 任何線索？

Answer 1

即使它在控制台中顯示警報，該功能似乎仍在工作。 即使控制台顯示警報，消息也會在 lambda 失敗時發送到 DLQ。

Answer 2

我已聯系 AWS Support，這是一個已知的 UI 問題。 到目前為止，仍然沒有確認修復的預計到達時間。

但是，要解決此問題，您可以將 SQS Access Policy Principal部分從

"Principal": {
  "Service": "sns.amazonaws.com"
},

到

"Principal": "*",

Answer 3

假設您已將AWS 文檔中的 SQS 隊列策略與委托人"Service":"sns.amazonaws.com"那么錯誤消息是由控制台使用 IAM 策略模擬但沒有傳遞委托人這一事實引起的。

將委托人更改為"AWS":"*"將使策略模擬成功，從而消除錯誤。

使用通配符是安全的，前提是您有條件限制僅從特定 SNS 主題的訪問，如AWS 文檔中的先決條件中所述。