AWS SQS订阅对AWS SNS主题的访问控制

Question

我有一个将消息发布到AWS SNS主题字符串的NodeJS应用程序和一个AWS SQS订阅。在SQS控制台上，我可以看到发布的消息。但是，我不清楚SQS队列的访问策略。

{
  "Version": "2012-10-17",
  "Id": "Policy1607949016538",
  "Statement": [
    {
      "Sid": "Stmt1607949012567",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "sqs:ReceiveMessage",
        "sqs:SendMessage"
      ],
      "Resource": "arn:aws:sqs:ap-south-1:463113000000:orders"
    }
  ]
}

问题

1. 当将消息传递到SQS队列时，作为订阅的结果，哪个用户是有效的？与发表该主题的人相同？
2. 只有在使用“principal”：{“aws”：“*”}时，才能使消息流入队列。那么，我应该如何定义一个限制性策略，使消息只能作为订阅的结果写入队列？
3. 创建具有“principal”：{“AWS”：“*”}权限的队列的AWS SQS CLI中的等效项是什么？

Answer 1

1. 唯一重要的用户是符合为订阅和SQS访问策略定义的策略的用户。
策略文档中的 条件可以使整个策略具有限制性。请参阅下面的示例。
2. 使用AWS CLI命令添加有条件的SQS权限

限制访问帐户ID的示例策略文档。

json prettyprint-override">{
  "Version": "2012-10-17",
  "Id": "Policy1607960702002",
  "Statement": [
    {
      "Sid": "Stmt1607960701004",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "sqs:ReceiveMessage",
        "sqs:SendMessage"
      ],
      "Resource": "arn:aws:sqs:ap-south-1:463113000000:orders",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "463113000000"
        }
      }
    }
  ]
}