使用AWS CDK在Localstack中配置S3事件通知至SQS失败

安全阿岳

2026-6-26

问题

我正尝试通过AWS CDK实现一个简单功能：创建S3存储桶与SQS队列，当存储桶中创建对象时，自动向SQS队列发送消息。该功能在真实AWS环境通过AWS CLI可正常运行，但使用CDK部署至Localstack后，执行aws s3 cp ./some_file.txt s3://bucket_name/some_file.txt上传文件时，SQS队列并未收到消息。

我尝试的代码

/**
     * --------------------------------------------------
     * SQS Queue
     * --------------------------------------------------
     */

    const queue = new sqs.Queue(this, queueName, {
      encryption: sqs.QueueEncryption.UNENCRYPTED,
    });

    queue.grantSendMessages(new iam.ServicePrincipal('s3.amazonaws.com'));

    /**
     * --------------------------------------------------
     * S3 Bucket
     * --------------------------------------------------
     */

    const bucket = new s3.Bucket(this, bucketName, {});

    bucket.addEventNotification(
      s3.EventType.OBJECT_CREATED,
      new s3n.SqsDestination(queue)
    );

    const bucketPolicy = new iam.PolicyStatement({
      actions: ['sqs:SendMessage'],
      effect: iam.Effect.ALLOW,
      principals: [new iam.ServicePrincipal('s3.amazonaws.com')],
      resources: [queue.queueArn],
      conditions: {
        ArnLike: {
          'aws:SourceArn': bucket.bucketArn,
        },
      },
    });

    queue.addToResourcePolicy(bucketPolicy);

排查与修复建议

适配Localstack服务主体：Localstack中S3的服务主体并非s3.amazonaws.com，需改为's3.localhost.localstack.cloud'或直接's3'，同时更新队列资源策略中的ServicePrincipal。
确认Localstack服务启用：启动Localstack时显式指定开启S3和SQS服务，命令示例：localstack start -d --services s3,sqs，避免服务未加载导致事件通知失效。
移除冗余权限配置：代码中同时通过grantSendMessages和手动添加资源策略，可能引发权限冲突。建议删除queue.grantSendMessages(...)，仅保留带aws:SourceArn条件的资源策略，既符合安全要求，也避免Localstack解析策略时出现问题。
检查ARN格式匹配：Localstack中资源ARN的账号ID默认是000000000000，确认CDK生成的bucket.bucketArn和queue.queueArn符合Localstack格式，确保策略中的aws:SourceArn条件匹配正确。
配置CDK部署端点：部署CDK时设置环境变量，指向Localstack端点：
```
export AWS_ENDPOINT_URL=http://localhost:4566
export AWS_REGION=us-east-1
export AWS_ACCOUNT_ID=000000000000
```
确保CDK使用Localstack的环境配置进行部署。

内容的提问来源于stack exchange，提问作者Kent Safranski