使用SQSSession临时凭证访问跨账号SQS报InvalidAddress JMSException

Amazon SQS JMS客户端完全支持通过AssumeRole获取临时凭证访问跨账号队列，你遇到的404 InvalidAddress报错和凭证访问模式无关，核心原因是队列URL拼接错误：
你调用的sqsSession.createQueue(queueName, brokerAccountId)方法在参数格式不匹配、客户端版本兼容问题下，会生成不完整的请求路径，最终SDK把请求打到SQS服务的根端点https://sqs.us-east-1.amazonaws.com/而非具体队列的端点，触发404。
另外你构建STS客户端时没有显式指定区域，可能导致STS取到默认区域的临时凭证，和SQS客户端指定的us-east-1区域不匹配，也会偶发端点校验错误。

按以下步骤调整配置即可解决：

• 优先使用完整SQS队列URL访问，不要依赖SDK拼接队列路径：将目标队列的完整URL（格式为https://sqs.us-east-1.amazonaws.com/[目标账号ID]/[队列名]）配置到配置项中，替代原来单独配置的队列名、目标账号ID参数，从根源避免路径拼接错误。
• 修正目的地解析器逻辑，去掉带账号ID参数的createQueue重载，直接传入完整队列URL：

@Override
protected Queue resolveQueue(Session session, String queueName) throws JMSException {
    if (session instanceof SQSSession) {
        SQSSession sqsSession = (SQSSession) session;
        // 入参queueName直接传入配置的完整SQS队列URL
        return sqsSession.createQueue(queueName);
    }
    return super.resolveQueue(session, queueName);
}

• 修正连接工厂构建逻辑，给STS客户端显式指定和SQS一致的区域，避免区域不匹配问题：

private ConnectionFactory getConnectionFactory(String connectionRoleArn){
    // 显式指定STS客户端区域，和SQS部署区域保持一致
    AWSSecurityTokenService stsClient = AWSSecurityTokenServiceClient.builder()
            .withRegion(Regions.US_EAST_1)
            .build();

    AWSCredentialsProvider tempCredentialsProvider = IdentityHelpers.assumeInternalRole(stsClient, connectionRoleArn);
    return new SQSConnectionFactory(
                    new ProviderConfiguration(),
                    AmazonSQSClientBuilder.standard()
                            .withRegion(Regions.US_EAST_1)
                            .withCredentials(tempCredentialsProvider)
            );
}

• 前置权限校验：调整完配置前可以先写单元测试，用获取到的临时凭证构建基础AmazonSQS客户端，直接调用getQueueUrl方法传入队列名、目标账号ID，若能正常返回完整队列URL，说明角色信任策略、SQS队列权限配置均正常，JMS层即可正常连通。

注意：跨账号访问需要提前确认两个权限配置：一是你Assume的目标角色信任策略允许当前账号的调用身份代入；二是目标账号的SQS队列策略给该角色授予sqs:ReceiveMessage、sqs:DeleteMessage、sqs:SendMessage、sqs:GetQueueAttributes必要操作权限。

内容的提问来源于stack exchange，提问作者CoderCal