调用PutTargets报错：SQS类型EventBridge目标不支持RoleArn参数

DevOps 小满

2026-7-15

问题解决：EventBridge配置SQS目标时RoleArn不支持的KMS权限处理

报错原因

调用PutTargets给SQS类型的EventBridge目标传入RoleArn会触发ValidationException，因为SQS是EventBridge无需指定角色的目标类型，AWS仅允许Lambda、ECS任务等部分目标通过RoleArn指定执行角色，SQS目标不支持该参数。

解决KMS权限拒绝、避免消息进入DLQ的步骤

要解决加密SQS队列的权限问题，需通过配置KMS密钥策略和SQS队列策略来实现：

更新KMS密钥权限策略
给EventBridge服务主体授予使用KMS密钥加密/解密消息的权限，在KMS密钥的权限策略中添加以下语句：
```
{
  "Effect": "Allow",
  "Principal": {
    "Service": "events.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey",
    "kms:Decrypt"
  ],
  "Resource": "*"
}
```
该权限允许EventBridge在向加密SQS队列发送消息时，生成数据密钥用于加密操作，以及后续可能的解密需求。

更新SQS队列权限策略
确保EventBridge有权限向目标SQS队列发送消息，在SQS队列的权限策略中添加以下语句（替换实际的规则ARN和队列ARN）：

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:sa-east-1:1234:my-queue-name",
      "Condition": {
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:events:sa-east-1:1234:rule/your-eventbridge-rule-name"
        }
      }
    }
  ]
}

通过Condition限制仅指定的EventBridge规则能发送消息，提升安全性。