AWS SQS DLQ消息加密：如何阻止重驱权限用户查看明文消息？

已启用SQS服务器端加密（SSE）仍能看到明文消息是正常的——SSE仅负责消息在传输和存储环节的加密，当用户调用ReceiveMessage接口时，AWS会自动解密后返回明文内容。要阻止拥有重驱权限的用户查看PII，可通过以下几种方式实现：

• 客户端前置加密消息体
  在消息发送至队列前，使用客户管理的KMS密钥（CMK）对包含PII的消息体进行加密。只有持有对应解密权限的主体才能还原明文，拥有重驱权限但无解密密钥的用户，即使能获取消息，拿到的也是加密后的乱码内容。需注意将KMS密钥权限与SQS操作权限分离，避免重驱用户获得解密权限。

• 拆分重驱与消息读取权限
  重驱消息仅需SendMessage权限（将DLQ消息发送回源队列），无需ReceiveMessage权限。移除用户对DLQ的ReceiveMessage权限，仅保留SendMessage及必要的队列元数据查看权限，这样用户只能执行重驱操作，无法读取消息内容。

• 自动化重驱流程替代手动操作
  不开放手动重驱权限，改用Lambda等服务实现自动化重驱：

  • 配置Lambda触发DLQ事件，自动将消息回发源队列，Lambda持有ReceiveMessage和SendMessage权限；
  • 用户仅能触发Lambda执行（如通过API Gateway或控制台调用），无法直接接触DLQ的消息内容。

• DLQ消息脱敏处理
  若无法在发送前加密，可在消息进入DLQ时（或通过Lambda触发处理）对PII字段进行脱敏，比如将手机号、邮箱等敏感内容替换为掩码（如***-****-1234），即使消息被读取，也不会泄露真实的个人身份信息。

内容的提问来源于stack exchange，提问作者Aleh Autushka