如何实现跨账号将Amazon MQ设为Lambda函数触发器？

由于Lambda不支持直接跨账号的Amazon MQ触发，你可以通过以下两种中转方案实现需求：

方案1：同账号Lambda转发 #

这是最直接的实现方式，利用同账号MQ触发Lambda的原生支持，再通过该Lambda调用目标账号的函数：

• 在账号A中创建转发Lambda，配置Amazon MQ作为它的触发器（同账号操作，完全符合Lambda的支持逻辑）。
• 给账号B的目标Lambda添加资源策略，允许账号A的转发Lambda调用它。示例策略：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::[账号A-ID]:role/[转发Lambda执行角色ARN]"
        },
        "Action": "lambda:InvokeFunction",
        "Resource": "arn:aws:lambda:[区域]:[账号B-ID]:function:[目标Lambda名称]"
      }
    ]
  }
  

• 在转发Lambda的代码中，接收MQ消息后调用目标Lambda。以Python为例：

  import boto3
  import json
  
  lambda_client = boto3.client('lambda')
  TARGET_LAMBDA_ARN = "arn:aws:lambda:[区域]:[账号B-ID]:function:[目标Lambda名称]"
  
  def lambda_handler(event, context):
      for record in event['Records']:
          message_body = record['body']
          # 异步调用目标Lambda，如需同步可改为RequestResponse
          lambda_client.invoke(
              FunctionName=TARGET_LAMBDA_ARN,
              InvocationType='Event',
              Payload=json.dumps(message_body).encode('utf-8')
          )
      return {"statusCode": 200, "body": "Messages forwarded successfully"}
  

• 给账号A的转发Lambda执行角色添加权限，允许它调用目标Lambda的ARN。

方案2：SQS中转队列 #

利用SQS的跨账号消息传递能力，作为MQ和Lambda之间的中间层：

• 在账号B中创建中转SQS队列，添加资源策略允许账号A的MQ向其发送消息：

  {
    "Version": "2008-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::[账号A-ID]:root"
        },
        "Action": "sqs:SendMessage",
        "Resource": "arn:aws:sqs:[区域]:[账号B-ID]:[中转队列名称]"
      }
    ]
  }
  

• 在账号A的Amazon MQ中配置消息转发：
  • 如果是ActiveMQ：创建目标为SQS的队列桥接，配置账号B的SQS队列ARN和必要的凭证。
  • 如果是RabbitMQ：配置交换器绑定，将消息路由到SQS队列（需借助RabbitMQ的SQS插件或自定义消费者）。
• 在账号B中给目标Lambda添加SQS触发器，让队列中的消息自动触发Lambda执行。

关键注意事项 #

• 权限校验：所有跨账号操作的资源策略必须配置正确，避免出现AccessDenied错误。
• 幂等性：中转过程中可能出现重复消息，目标Lambda需要具备处理重复请求的逻辑（比如基于消息ID去重）。
• 监控：给所有中转组件（转发Lambda、SQS队列、目标Lambda）配置CloudWatch日志和指标，便于排查问题。

内容的提问来源于stack exchange，提问作者Karen Kostanyan