SQS API：sqs:CreateQueue 使用 Cloudformation 在“放大推送”上拒绝访问资源 https://sqs.us-east-1.amazonaws.com/答案

【问题标题】：SQS API: sqs:CreateQueue Access to the resource https://sqs.us-east-1.amazonaws.com/ is denied on `amplify push` using CloudformationSQS API：sqs:CreateQueue 使用 Cloudformation 在“放大推送”上拒绝访问资源 https://sqs.us-east-1.amazonaws.com/
【发布时间】：2021-11-16 20:12:21
【问题描述】：

我正在实现 SQS fifo 队列。我必须使用 cloudformation 模板来实现。

当我放大推送时，我得到

错误 API: sqs:CreateQueue Access to the resource https://sqs.us-east-1.amazonaws.com/ is denied

我添加了从 aws docs 开始的 SQS 政策 .除了 accountID，我在“Principal”中使用服务作为“sqs.amazonaws.com”。

我的 cloudformation 看起来像：

{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Description": "SQS fifo queue",
  "Parameters": {
    "env": {
      "Type": "String"
    }
  },
  "Resources": {
    "QueueExecutionRole": {
      "Type": "AWS::IAM::Role",
      "Properties": {
        "RoleName": {
          "Fn::Join": [
            "",
            [
              "queue-exec-role-",
              {
                "Ref": "env"
              }
            ]
          ]
        },
        "AssumeRolePolicyDocument": {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "Service": "sqs.amazonaws.com"
              },
              "Action": ["sts:AssumeRole"]
            }
          ]
        }
      }
    },
    "SQSPolicy": {
      "Type": "AWS::SQS::QueuePolicy",
      "Properties": {
        "Queues": [{ "Ref": "groupingQueue" }],
        "PolicyDocument": {
          "Statement": [
            {
              "Action": ["SQS:SendMessage", "SQS:ReceiveMessage"],
              "Effect": "Allow",
              "Resource": {
                "Fn::GetAtt": ["groupingQueue", "Arn"]
              },
              "Principal": {
                "Service": "sqs.amazonaws.com"
              }
            }
          ]
        }
      }
    },
    "groupingQueue": {
      "Type": "AWS::SQS::Queue",
      "Properties": {
        "FifoQueue": "true",
        "QueueName": {
          "Fn::Join": [
            "",
            [
              "grouping-queue-",
              {
                "Ref": "env"
              },
              ".fifo"
            ]
          ]
        }
      }
    }
  },
  "Outputs": {
    "QueueURL": {
      "Description": "URL of new Amazon SQS Queue",
      "Value": { "Ref": "groupingQueue" }
    },
    "QueueARN": {
      "Description": "ARN of new Amazon SQS Queue",
      "Value": { "Fn::GetAtt": ["groupingQueue", "Arn"] }
    },
    "QueueName": {
      "Description": "Name new Amazon SQS Queue",
      "Value": { "Fn::GetAtt": ["groupingQueue", "QueueName"] }
    }
  }
}

我不想在“Principal”中提供 AccountID，这就是为什么使用 sqs 服务。

使用这个确切的模板，我在amplify push -y 上被拒绝访问。

【问题讨论】：

是否可以将Service": "sqs.amazonaws.com 作为校长？

标签： amazon-web-services amazon-cloudformation amazon-sqs

【解决方案1】：

我在服务器上做amplify push。当我从本地计算机推送它时，它起作用了。

原来我在服务器中设置的 aws 配置文件没有 sqs:CreateQueue 权限，而我的本地拥有管理员访问权限。

所以，我从控制台添加了管理员对我的服务器用户的完全访问权限，再次amplify push 并且运行顺利。

PS：不需要给管理员权限，给sqs:CreateQueue权限即可。我这样做是因为我在测试。

【讨论】：