CloudFormation配置S3触发SQS报错：Unable to validate destination configurations

这个错误的核心原因是S3存储桶没有获得向SQS队列发送消息的权限。当你在CloudFormation中配置S3通知时，S3会尝试验证目标队列是否允许它发送消息，而默认创建的SQS队列没有开放这个权限，导致验证失败返回InvalidArgument错误。另外你的JSON配置末尾多了一个多余的}，这也会导致语法解析问题，需要先修正。

修正后的完整CloudFormation配置 #

{
  "Resources": {
    "SQSQueue": {
      "Type": "AWS::SQS::Queue"
    },
    "SQSQueuePolicy": {
      "Type": "AWS::SQS::QueuePolicy",
      "Properties": {
        "Queues": [{"Ref": "SQSQueue"}],
        "PolicyDocument": {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "Service": "s3.amazonaws.com"
              },
              "Action": "sqs:SendMessage",
              "Resource": {"Fn::GetAtt": ["SQSQueue", "Arn"]},
              "Condition": {
                "ArnLike": {
                  "aws:SourceArn": {"Fn::GetAtt": ["InputBucket", "Arn"]}
                }
              }
            }
          ]
        }
      }
    },
    "InputBucket": {
      "Type": "AWS::S3::Bucket",
      "DependsOn": ["SQSQueuePolicy"],
      "Properties": {
        "NotificationConfiguration": {
          "QueueConfigurations": [
            {
              "Event": "s3:ObjectCreated:Put",
              "Queue": {"Fn::GetAtt": ["SQSQueue", "Arn"]}
            }
          ]
        },
        "AccessControl": "PublicRead"
      }
    }
  }
}

关键修改说明 #

• 添加SQS队列策略（SQSQueuePolicy）：
  • 明确允许s3.amazonaws.com服务主体执行sqs:SendMessage操作，确保S3有权限向队列发送通知。
  • 通过Condition中的ArnLike限制仅指定的S3存储桶能触发消息发送，提升安全性。
• 调整DependsOn：
  • 将InputBucket的依赖从SQSQueue改为SQSQueuePolicy，确保队列权限策略先创建生效，再配置存储桶的通知规则，避免时序问题。
• 修正JSON语法：移除了末尾多余的}，保证配置可以正常解析。

额外注意事项 #

• 你的配置中设置了AccessControl: PublicRead，这会让存储桶内的对象公开可读，如果这不是你的预期需求，建议修改为更严格的权限（比如Private），并通过Bucket Policy精细化控制访问权限。
• 如果你使用的是SQS加密队列，还需要确保队列的KMS密钥策略允许S3服务访问该密钥。

内容的提问来源于stack exchange，提问作者user8981199