使用Terraform AWS Provider部署的CloudWatch规则无法触发SQS

核心问题 #

你的CloudWatch事件规则无法向SQS FIFO队列发送消息，根源在于SQS队列策略中的Resource字段错误使用了队列URL而非ARN，同时可能存在资源创建顺序导致的权限生效延迟问题。

具体修复步骤 #

1. 修正SQS队列策略的Resource字段 #

SQS队列策略的Resource必须指定队列ARN，而非URL。原代码中误用了队列URL，导致权限策略无法正确匹配请求。

修正后的aws_sqs_queue_policy资源：

resource "aws_sqs_queue_policy" "schedule_permission" {
  queue_url = aws_sqs_queue.my_queue_fifo.url
  policy = jsonencode({
    "Version" : "2012-10-17",
    "Statement" : [{
      "Action" : ["sqs:SendMessage"],
      "Effect" : "Allow",
      "Principal" : {
        "Service" : "events.amazonaws.com"
      },
      "Resource" : aws_sqs_queue.my_queue_fifo.arn, # 替换为队列ARN
      "Condition" : {
        "ArnLike" : {
          "aws:SourceArn" : aws_cloudwatch_event_rule.my_schedule.arn
        }
      }
    }]
  })
}

2. 添加显式资源依赖确保权限优先生效 #

虽然Terraform默认会处理资源依赖，但显式声明依赖可以避免因创建顺序导致的权限未及时生效问题。给事件目标添加对队列策略的依赖：

resource "aws_cloudwatch_event_target" "target_extract_oracle" {
  arn   = aws_sqs_queue.my_queue_fifo.arn
  rule  = aws_cloudwatch_event_rule.my_schedule.name
  input = jsonencode({ "property" : "value" })

  sqs_target {
    message_group_id = "sqs-group-id"
  }

  # 确保队列权限配置完成后再创建事件目标
  depends_on = [aws_sqs_queue_policy.schedule_permission]
}

3. 验证基础配置 #

• 确认aws_cloudwatch_event_rule的is_enabled已设置为true（你的代码已满足）
• SQS FIFO队列的message_group_id已在事件目标中正确配置（你的代码已满足）

为什么手动创建目标能正常工作？ #

在控制台手动添加目标时，AWS会自动为队列生成正确的权限策略（使用ARN作为Resource），而你的Terraform代码因误用URL导致权限策略不生效，最终CloudWatch事件服务无法向队列发送消息。

内容的提问来源于stack exchange，提问作者Derick Welman