同一AWS账户下SNS仅向一个SQS发消息的调试方案咨询

• 确认订阅状态：检查失败队列对应的SNS订阅是否处于Confirmed状态。同一账户下订阅通常会自动确认，但可能存在订阅被取消、未完成确认的情况。可通过SNS控制台的订阅列表查看，或执行命令：aws sns list-subscriptions-by-topic --topic-arn <你的主题ARN>。

• 验证区域一致性：SNS主题与SQS队列必须处于同一AWS区域才能直接订阅（跨区域需额外配置转发）。确认两个队列和主题的区域是否完全一致，避免出现跨区域订阅未配置的情况。

• 检查订阅过滤策略：SNS支持为单个订阅设置过滤规则，可能失败的订阅被添加了过滤条件，导致消息无法匹配投递。查看该订阅的过滤策略（SNS控制台订阅详情或命令aws sns get-subscription-attributes --subscription-arn <订阅ARN>），对比两个订阅的规则是否一致。

• 排查死信队列（DLQ）配置：若失败队列配置了DLQ，消息可能因触发死信条件（如接收次数阈值过低）直接转入DLQ，导致主队列无消息。检查DLQ中是否有来自该SNS主题的消息，同时确认死信规则设置。

• 查看监控与日志：

  • 用CloudWatch指标验证：查看SNS主题的NumberOfMessagesPublished（确认消息已发布）、两个订阅的NumberOfNotificationsDelivered（对比投递次数）；查看SQS队列的NumberOfMessagesReceived（确认是否有消息到达）。
  • 开启SQS日志记录：通过CloudWatch Logs集成SQS日志，查看投递失败的具体错误信息（如权限冲突、队列不存在等）。
  • 检查CloudTrail事件：搜索SNS的Publish和Subscribe事件，确认消息发布流程、订阅创建/确认是否正常。

• 验证队列ARN正确性：确认SNS订阅中填写的队列ARN是否与目标队列的实际ARN完全一致，避免因ARN中的区域、账户ID或队列名称错误导致投递失败。

• 排查账户级权限限制：检查是否存在服务控制策略（SCP）限制了该队列接收SNS消息的权限。SCP作为账户级控制，可能覆盖队列的访问策略，导致投递被拒绝。

• 手动测试投递：用CLI发送测试消息验证：

  1. 发布消息：aws sns publish --topic-arn <主题ARN> --message "测试消息"
  2. 查看队列消息数：aws sqs get-queue-attributes --queue-url <队列URL> --attribute-names ApproximateNumberOfMessages
     对比两个队列的消息数变化，确认失败队列是否未接收到消息。

• 检查队列类型兼容性：若失败队列是FIFO类型，而SNS主题是标准主题，需确保发布的消息包含MessageGroupId，否则FIFO队列可能无法接收消息。标准队列无此限制，可对比两个队列的类型差异。

内容的提问来源于stack exchange，提问作者user2175783