AWS EventBridge向SSE-KMS加密SQS发送消息失败求助

问题场景 #

我搭建了以下流程：

• Secret Change Manager触发事件（如密钥值修改）
• EventBridge规则将事件转发至SNS主题，向收件人发送邮件通知
• 当SNS不可达时，未处理事件应进入Amazon SQS死信队列

当前SQS使用SSE-SQS加密或未加密时运行正常，但启用SSE-KMS（自定义CMK或AWS默认密钥）后，即使SNS不可达，也没有消息进入SQS。怀疑问题出在访问策略，已尝试赋予最大权限但未解决，现有部分KMS策略如下：

{
"Sid": "example-statement-ID",
"Effect": "Allow",
"Principal": {
  "Service": "events.amazonaws.com"
},
"Action": [
  "kms:GenerateDataKey",
  "kms:DescribeKey",
  "kms:Encrypt",
  "kms:ReEncrypt",
  "kms:Decrypt"
],
"Resource": "*"
}

排查与解决建议 #

1. 明确KMS密钥策略的资源范围 #

将KMS策略中的Resource从通配符*改为具体的KMS密钥ARN，避免通配符在部分权限场景下不生效：

{
  "Sid": "AllowEventBridgeToUseKMSForSQS",
  "Effect": "Allow",
  "Principal": {
    "Service": "events.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey",
    "kms:Encrypt"
  ],
  "Resource": "arn:aws:kms:<your-region>:<account-id>:key/<your-kms-key-id>"
}

注：EventBridge向SSE-KMS加密的SQS发送消息时，仅需要kms:GenerateDataKey和kms:Encrypt动作，多余的权限可以移除以遵循最小权限原则。

2. 使用区域化的EventBridge服务主体 #

部分AWS区域要求使用区域限定的服务主体，比如events.<your-region>.amazonaws.com而非全局的events.amazonaws.com，修改KMS策略中的Principal部分：

"Principal": {
  "Service": "events.<your-region>.amazonaws.com"
}

3. 配置SQS队列的访问策略 #

确保SQS队列的访问策略允许EventBridge执行sqs:SendMessage动作，这是容易被忽略的环节：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowEventBridgeSendToDLQ",
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:<your-region>:<account-id>:<your-dlq-name>"
    }
  ]
}

4. 检查权限边界与SCP限制 #

确认是否存在IAM权限边界、组织SCP（服务控制策略）限制了EventBridge对KMS密钥的访问，即使KMS密钥策略允许，上层的权限边界也可能阻断请求。

5. 验证死信队列配置 #

• 确认EventBridge规则中配置的死信队列ARN完全正确
• 确保EventBridge与SQS死信队列处于同一AWS区域，跨区域场景需要额外的权限配置和网络支持

内容的提问来源于stack exchange，提问作者silviurm