访问资源https://queue.amazonaws.com/在AWS Lambda函数中被拒绝错误

Question

我试图设置跨帐户数据搬迁从AWS帐户A的AWS Lambda到SQS在AWS帐户B使用boto3。以下是我遵循的步骤。

1. 在帐户A中创建了一个IAM角色，该角色对帐户B中的SQS队列具有“SendMessage”访问权限。（给定帐户B的SQS队列的ARN）
2. 在帐户A中IAM角色的信任关系中添加了AWS帐户B的帐户ID。
3. 将此IAM角色附加到Lambda函数，并编写代码，使用SQS队列URL将消息发送到SQS队列
4. 在帐户B中创建了SQS队列。
5. 在SQS队列访问策略中，我编写了一个允许帐户a的lambda角色向其SQS队列发送消息的策略

================================================================================

  After that when I am trying to test my lambda function, it is giving me below error.
    [ERROR] ClientError: An error occurred (AccessDenied) when calling the SendMessage operation: Access to the resource https://queue.amazonaws.com/ is denied.

=====================================================================================

谁能帮我弄明白这里出了什么问题？

Answer 1

如果您试图通过boto3 Python库访问SQS，则可能会出现此错误（例如：OP的lambda）从启用专用DNS的VPC内部。

根据AWS文件：

专用DNS不支持队列等旧endpoint。亚马逊。com或us-east-2。队列亚马逊。通用域名格式。

（强调我的）

要解决此错误，请执行以下操作：

1. Create a VPC endpoint for com.amazonaws.<region>.sqs in your VPC
2. Pass the appropriate service endpoint URL to the boto3.client() constructor:

   import boto3
   
   client = boto3.client('sqs', endpoint_url='https://sqs.%s.amazonaws.com' % region)
   

   IAM权限留给读者作为练习。