Question

我想将sqs（另一个帐户的公共队列）添加为lambda函数（存在于另一个帐户中）的触发点。我认为可以通过无服务器来完成，但是即使sqs和lambda函数都存在于同一帐户中，我也无法使用无服务器来添加它。请建议我该怎么做。

说明更多：在帐户X中创建了公共S1 Lambda L1在另一个帐户中：Y

如何添加平方S1作为Lambda L1的触发点？

我想要一个类似sns的命令： aws sns订阅--topic-arn Amazon SNS主题arn --protocol lambda --notification-endpoint arn：aws：lambda：us-east-1：B：function：SNS-X-Account

Answer 1

您需要一个类似于以下内容的SQS策略：

{
  "Version":"2012-10-17",
  "Id":"sqsQueuePolicy",
  "Statement":[{
      "Sid":"Allow-other-account-to-use-queue",
      "Effect":"Allow",
      "Principal":{
        "AWS":"[ACCOUNT-Y]"
      },
      "Action":"sqs:*",
      "Resource":"arn:aws:sqs:us-east-1:[ACCOUNT-X]:S1",
      "Condition": {
        "ArnEquals" : "arn:aws:lambda:[ACCOUNT-Y-REGION]:[ACCOUNT-Y]:function:L1"
      }
    }
  ]
}

帐户X中的云层会像这样：

sqsQueue:
  Type: 'AWS::SQS::Queue'
  Properties:
    QueueName: !Sub '${projectName}-ConsumerQueue'

policyQueueConsumer:
  Type: 'AWS::SQS::QueuePolicy'
  Properties:
    PolicyDocument:
      Id: !Sub '${projectName}-ConsumerQueuePolicy'
      Version: '2012-10-17'
      Statement:
      - Sid: 'AllowConsumerSnsToSqsPolicy'
        Effect: 'Allow'
        Principal:
          AWS: '${ACCOUNT-Y}'
        Action:
          - sqs:ChangeMessageVisibility
          - sqs:DeleteMessage
          - sqs:GetQueueAttributes
          - sqs:ReceiveMessage
          - sqs:SendMessage
        Resource: !GetAtt sqsQueue.Arn
        Condition:
          ArnEquals:
            aws:SourceArn: !Sub arn:aws:lambda:${ACCOUNT-Y-REGION}:${ACCOUNT-Y}:function:L1
    Queues:
      - !Ref sqsQueue

帐户Y的云形成将按以下方式映射触发器：

sqsEventTrigger:
  Type: "AWS::Lambda::EventSourceMapping"
  Properties:
    BatchSize: 5
    Enabled: true
    EventSourceArn: 'arn:aws:sqs:us-east-1:[ACCOUNT-X]:S1'
    FunctionName: 'L1'
  DependsOn:
    - queueConsumerLambda
    - queueConsumerExecutionRole

请注意，您的lambda还需要具有在其帐户Y中的执行角色中定义的相同权限：

{
  "Version":"2012-10-17",
  "Id":"lambdaExecutionPolicy",
  "Statement":[{
      "Sid":"Allow-lambda-to-call-queue-in-other-account",
      "Effect":"Allow",
      "Action":"sqs:*",
      "Resource":"arn:aws:sqs:[ACCOUNT-X-REGION]:[ACCOUNT-X]:S1",
    }
  ]
}

我根据此处的帖子改编了我的答案：AWS SQS Events On AWS Lambda at Financial Engines TechBlog

有关更多详细信息，请参阅AWS文档：Advanced SQS Policies有关更多详细信息。

Answer 2

AWS最近发布了一项公告，其中他们指出了这种确切的用例：SQS support for Lambda。

假设您可以访问所有资源，则应该可以直接链接SQS和Lambda。

使用无服务器将AWS sqs添加为AWS Lambda函数触发器

2 个答案: