AWS Lambda绑定的Amazon MQ（RabbitMQ）触发器自动禁用如何解决

1. 优先定位根因 #

• 查看Lambda函数对应的CloudWatch日志组/aws/lambda/<你的函数名称>，搜索关键词disabled、trigger、RabbitMQ，获取触发器被禁用的直接错误提示。
• 查看Amazon MQ控制台的Broker运行日志，检查是否存在Lambda连接被拒、认证失败、队列不存在/被删除的记录。
• 查看CloudTrail事件，筛选操作名UpdateEventSourceMapping，查看事件详情中的errorMessage字段，确认禁用操作的触发原因。

2. 常见问题修复方案 #

2.1 执行角色权限缺失 #

这是该场景下最常见的触发原因，你当前提供的权限策略缺少Lambda管理触发器的必要权限，需要在原有策略的Action列表中补充以下权限：

"Action": [
  // 原有mq、ec2、secretsmanager权限保留
  "lambda:GetEventSourceMapping",
  "lambda:UpdateEventSourceMapping"
]

如果存储MQ认证信息的Secrets Manager秘钥使用了KMS自定义密钥加密，还需要补充kms:Decrypt权限，否则Lambda无法获取认证信息会导致偶发连接失败，进而禁用触发器。

2.2 网络连通性异常 #

• 确认Lambda的VPC、子网配置和Amazon MQ Broker的VPC归属一致，跨VPC访问会出现偶发连通失败。
• 确认安全组规则配置正确：Lambda安全组需要开放到MQ Broker 5671端口（AMQP TLS端口）的出站规则，MQ Broker的安全组需要开放来自Lambda安全组5671端口的入站规则。
• 如果Lambda部署在公共子网，必须绑定NAT网关，Lambda无法直接在公共子网中访问公网或其他AWS服务资源。

2.3 触发器配置错误 #

• 确认触发器配置的RabbitMQ vhost名称、队列名称、交换机名称完全匹配实际配置，RabbitMQ资源名称大小写敏感，配置不一致会导致偶发资源找不到错误。
• 不要为RabbitMQ队列设置自动过期、自动删除策略，队列消失会直接触发Lambda禁用触发器。
• 适当调小触发器的批处理大小，如果单次拉取的消息数量过多，超过Lambda函数的处理超时阈值，消费失败累积到内部阈值后也会自动禁用触发器，建议先调整到10~20测试稳定性。

3. 兜底恢复方案 #

可配置CloudWatch事件规则监控触发器状态，一旦检测到触发器变为DISABLED状态，自动调用UpdateEventSourceMapping接口重新启用触发器，避免人工操作导致的业务中断。

内容的提问来源于stack exchange，提问作者Prashanth