组织内任意账号S3事件通知推送至SQS队列的策略问题及优化需求

原策略失效原因 #

你使用的aws:PrincipalOrgID条件无法生效，因为S3服务（s3.amazonaws.com）属于AWS官方组织，并非你的AWS组织成员，该条件永远无法匹配S3发起的请求，导致队列策略拒绝S3的消息发送请求。

无需手动维护账号ID的替代方案 #

方案1：通过AWS组织SCP实现全局控制 #

这是最推荐的可扩展方案，通过组织级服务控制策略（SCP）限制仅组织内账号的S3服务能访问目标SQS队列，同时简化SQS队列策略：

步骤1：创建组织SCP

在AWS组织控制台中创建以下SCP，绑定到组织根节点或指定OU，确保仅组织内账号的S3服务能调用目标队列的sqs:SendMessage操作：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sqs:SendMessage",
      "Resource": "你的SQS队列ARN",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "你的组织ID"
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": "sqs:SendMessage",
      "Resource": "你的SQS队列ARN",
      "Condition": {
        "StringNotEquals": {
          "aws:PrincipalOrgID": "你的组织ID"
        }
      }
    }
  ]
}

步骤2：修改SQS队列策略

移除无效的aws:PrincipalOrgID条件，保留aws:SourceArn限制S3桶来源：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "sqs:SendMessage",
      "Resource": "你的SQS队列ARN",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:s3:::*"
        }
      }
    }
  ]
}

SCP会自动拦截组织外账号的S3请求，无需手动维护账号列表。

方案2：通过S3桶标签实现权限控制 #

如果你的组织有统一的桶标签规范，可以通过标签条件过滤允许访问的S3桶：

步骤1：给组织内目标S3桶添加标签

为所有需要向该SQS发送消息的S3桶添加统一标签，例如OrgAuthorized: "true"。

步骤2：修改SQS队列策略

添加aws:ResourceTag条件验证桶标签：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "sqs:SendMessage",
      "Resource": "你的SQS队列ARN",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:s3:::*"
        },
        "StringEquals": {
          "aws:ResourceTag/OrgAuthorized": "true"
        }
      }
    }
  ]
}

这种方式只需维护桶标签，无需管理账号ID，适合标签化管理的场景。

内容的提问来源于stack exchange，提问作者thestephenstanton