为已有SQS事件通知的S3添加Lambda事件通知失败求助

针对你遇到的「Unable to validate the following destination configurations」错误，结合「空桶可正常配置、已有SQS通知的桶失败」的现象，给出以下针对性解决方案：

1. 简化Lambda资源策略（仅保留必要权限） #

你手动添加的Lambda资源权限包含了多余的GetFunctionConfiguration等操作，这不仅没必要，还可能干扰AWS的自动验证逻辑。正确的配置只需要允许目标S3桶调用Lambda函数即可：

• 进入Lambda控制台的testLambda函数页面，切换到「配置」→「权限」→「基于资源的策略」
• 删除现有自定义策略，点击「添加权限」，选择「AWS服务」→「S3」，按提示完成配置（AWS会自动生成正确的策略）
• 或者手动粘贴以下策略（替换占位符为实际值）：

{
  "Version": "2012-10-17",
  "Id": "S3InvokeLambda",
  "Statement": [
    {
      "Sid": "AllowS3Trigger",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:你的区域:你的账号ID:function:testLambda",
      "Condition": {
        "ArnLike": {
          "AWS:SourceArn": "arn:aws:s3:::你的S3桶名"
        }
      }
    }
  ]
}

2. 检查S3桶策略的限制 #

确认你的S3桶策略中没有任何Deny语句限制以下操作：

• s3:PutBucketNotification（修改桶通知的权限）
• 向Lambda发送事件的权限（默认情况下S3允许发送，但自定义Deny策略会阻断）

3. 先移除现有SQS通知再重新配置 #

现有SQS通知的配置可能存在隐性冲突（比如筛选规则的格式问题），尝试以下步骤：

1. 删除S3桶中现有的s3_put_sqs事件通知
2. 先添加目标s3_put_lambda通知，验证是否成功
3. 成功后再重新添加原来的SQS事件通知

4. 确认操作账号的IAM权限 #

确保你用于操作S3控制台的IAM用户/角色拥有：

• lambda:AddPermission（为Lambda添加触发权限）
• s3:PutBucketNotification（修改S3桶通知配置）
• s3:GetBucketNotification（读取现有桶通知配置）

5. 再次验证区域一致性 #

虽然你提到同区域，但需确认：

• S3桶的区域（注意：S3的区域ID需与Lambda完全匹配，比如us-east-1而非US East (N. Virginia)）
• Lambda函数的部署区域

内容的提问来源于stack exchange，提问作者Steven Jhon Flores