无法验证以下目标配置（S3 到 SQS）

我正在尝试使用无服务器设置一个工作流程，该工作流程创建一个新的 S3 存储桶、一个新的 SQS 队列，当在 S3 存储桶中创建一个对象时，将消息放入队列中，并在队列上有足够的消息时启动 lambda队列。我的资源块中有以下内容：

resources:
  Resources:
    AnalyticsQueue:
      Type: "AWS::SQS::Queue"
      Properties:
        QueueName: "my-queue"
    S3EventQueuePolicy:
      Type: AWS::SQS::QueuePolicy
      DependsOn: AnalyticsQueue
      Properties:
        PolicyDocument:
          Id: SQSPolicy
          Statement:
            - Effect: Allow
              Action: sqs:SendMessage:*
              Resource: !Ref AnalyticsQueue
        Queues:
          - !GetAtt AnalyticsQueue.Arn
    AnalyticsBucket:
      Type: AWS::S3::Bucket
      Properties:
        BucketName: "my-bucket"
        NotificationConfiguration:
          QueueConfigurations:
            - Event: s3:ObjectCreated:*
              Queue: !GetAtt AnalyticsQueue.Arn

当我尝试部署它时，我收到以下错误：

发生错误：AnalyticsBucket - 无法验证以下目标配置（服务：Amazon S3；状态代码：400；错误代码：InvalidArgument；请求 ID：E2A1F8BD6BEE6EF4；）。

一些谷歌搜索，我发现问题出在NotificationConfiguration块上AnalyticsBucket。如果我删除整个子块，它部署得很好，但显然在创建对象时不会在队列上生成消息。

正在寻找解决这个问题的方法。

您需要将这样的内联“访问”策略添加到 SQS 队列中：

{
  "Version": "2012-10-17",
  "Id": "example-ID",
  "Statement": [
    {
      "Sid": "example-statement-ID",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": [
        "SQS:SendMessage"
      ],
      "Resource": "arn:aws:sqs:<region>:<account-id>:<queue-name>",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:s3:::<my-bucket-name>"
        },
        "StringEquals": {
          "aws:SourceAccount": "bucket-owner-account-id"
        }
      }
    }
  ]
}

Source: https://docs.aws.amazon.com/AmazonS3/latest/userguide/grant-destinations-permissions-to-s3.html

注意：占位符如<region>JSON 中的内容需要替换。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow Amazon S3 to use this key",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:<region>:<account-id>:<key-alias>",
      "Condition": {
        "StringEquals": {
          "AWS:SourceAccount": "<account-id>"
        },
        "ArnLike": {
          "AWS:SourceArn": "arn:aws:s3:::<bucket-name>"
        }
    },
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<account-id>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    }
  ]
}

您的队列还可以使用服务器端加密。在这种情况下，您还需要向客户 KMS 添加策略（必须是客户 KMS 密钥，默认 AWS 密钥将不起作用；请阅读为什么 Amazon S3 事件通知不传送到使用服务器端加密的 Amazon SQS 队列？)