CloudFormation - 无法创建 SQS 策略

Question

我正在尝试通过SQS::QueuePolicy创建SQS队列并附加权限。

以下是我的Cloud Formation模板 -

模板

{
"AWSTemplateFormatVersion": "2010-09-09",
"Resources": {

    "MySQS": {
        "Type": "AWS::SQS::Queue",
        "Properties": {
            "QueueName": "QueueName1"
        }
    },
    "MySQSPolicy": {
        "Type": "AWS::SQS::QueuePolicy",
        "Properties": {
            "Queues": [
                {
                    "Fn::GetAtt" : ["MySQS", "Arn"] 
                }
            ],
            "PolicyDocument": {
                "Statement": [
                    {
                        "Effect": "Allow",
                        "Principal": {
                            "AWS": ["1234567689111"]
                        },
                        "Action": [
                            "SQS:SendMessage"
                        ]
                    }
                ]
            }
        }
    }
}
}

错误

我尝试通过AWS控制台创建堆栈，SQS队列创建成功，但在创建SQS策略时出现以下错误 -

指定的队列在此wsdl版本中不存在。(服务：AmazonSQS；状态码：400；错误代码：AWS.SimpleQueueService.NonExistentQueue；请求ID：e2611b4d-6166-5bf3-9205-4d0590e34f84)

CloudFormation控制台错误

我已参考文档，但无法确定问题所在？这里有什么错误的想法吗？

- Tahoor Ali

Answer 1

来自 AWS::SQS::QueuePolicy - AWS CloudFormation:

Queues: 要添加策略的队列URL。您可以使用 Ref 函数指定一个 AWS::SQS::Queue 资源。

此外，策略需要引用正在允许的资源，即队列。是的，可能看起来有点滑稽，因为队列被引用了两次，但第一次是指放置策略的位置，第二次是授予对特定队列的访问权限。

该策略还缺少一个 Version 参数。

因此，请使用：

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Resources": {
        "MySQS": {
            "Type": "AWS::SQS::Queue",
            "Properties": {
                "QueueName": "QueueName1"
            }
        },
        "MySQSPolicy": {
            "Type": "AWS::SQS::QueuePolicy",
            "Properties": {
                "Queues": [
                    {
                        "Ref": "MySQS"   <--- Changed
                    }
                ],
                "PolicyDocument": {
                    "Id": "QueuePolicy",
                    "Version": "2012-10-17",   <--- Added
                    "Statement": [
                        {
                            "Action": [
                                "sqs:SendMessage"
                            ],
                            "Effect": "Allow",
                            "Resource": {           <--- Added
                                "Fn::GetAtt": [
                                    "MySQS",
                                    "Arn"
                                ]
                            },
                            "Principal": {
                                "AWS": [
                                    "*"      <--- See note below
                                ]
                            }
                        }
                    ]
                }
            }
        }
    }
}

如上所示，使用 Principal 可以正常工作。或者，您可以指定一个 IAM 用户：

            "Principal" : {
               "AWS" : "arn:aws:iam::123456789012:user/myapp"
            },

我认为你不能简单地说Principal就是一个账户ID。

- John Rotenstein