如何通过编程方式查询AWS SQS队列关联的触发器无需Lambda全量权限

安全阿岳

2026-9-29

识别SQS队列关联触发器的替代方案

方案1：优化Lambda ListEventSourceMappings的IAM权限配置
现有方案存在可优化的权限配置空间：lambda:ListEventSourceMappings 虽然官方要求资源配置为*，但你可以通过添加IAM条件键限制查询范围，仅允许查询和目标SQS队列关联的事件源映射，示例IAM策略片段如下：
```
{
  "Effect": "Allow",
  "Action": "lambda:ListEventSourceMappings",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "lambda:EventSourceArn": "arn:aws:sqs:<region>:<account-id>:<queue-name>"
    }
  }
}
```
该配置下权限仅能用于查询指定SQS队列的关联映射，不会暴露其他Lambda的配置信息，完全符合最小权限原则。
方案2：通过AWS Config查询
如果你的AWS环境开启了Config服务，可以直接查询类型为AWS::Lambda::EventSourceMapping的资源，过滤事件源ARN为目标SQS队列的记录即可得到关联的触发器信息。该方案仅需要Config服务的只读权限，不需要申请Lambda相关的访问权限。如果你的SQS队列还关联了EventBridge Pipes、Step Functions等其他服务的触发器，该方案也可以覆盖全场景的查询需求。
方案3：从IaC配置中检索
如果你使用CloudFormation/CDK/Terraform等基础设施即代码工具管理资源，可以直接从IaC的状态文件、栈输出或者资源清单中检索SQS队列关联的触发器，不需要调用任何AWS运行时API，完全规避额外的权限申请。
方案4：通过CloudTrail追溯
仅需要历史统计场景下，你可以筛选CloudTrail中CreateEventSourceMapping类的事件，过滤事件源为目标SQS队列的记录，即可得到关联的Lambda函数信息，该方案仅需要CloudTrail的只读访问权限。