从EC2实例访问Amazon MQ是否需附加特定IAM策略？

API 探路者

2026-7-31

从EC2实例访问Amazon MQ是否需要IAM策略？

核心结论：默认情况下不需要，但存在特殊场景需要配置。

为什么文档没提这一步？

Amazon MQ本质是托管版的ActiveMQ/RabbitMQ，保留了原生消息队列的认证体系：消息的发布/订阅权限，默认依赖你在创建MQ实例时设置的原生用户凭证（比如ActiveMQ的用户名密码、RabbitMQ的vhost权限配置），和EC2实例的IAM角色没有直接关联。

IAM在Amazon MQ体系里，主要负责管理MQ资源本身（比如创建/删除Broker、修改实例配置、查看监控数据），而非消息层面的收发权限，所以常规收发场景的文档不会提及IAM策略。

特殊场景：启用IAM身份认证（仅ActiveMQ支持）

如果你在ActiveMQ实例上开启了IAM身份认证，此时EC2实例就需要附加对应的IAM策略，来允许它通过IAM凭证访问MQ服务。这种场景下的策略示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mq:Connect",
        "mq:Send",
        "mq:Receive"
      ],
      "Resource": "arn:aws:mq:us-east-1:123456789012:broker:my-activemq-broker:*"
    }
  ]
}

同时，EC2上的消息客户端需要通过AWS SDK生成临时IAM凭证，替换原生的用户名密码来完成连接。