创建RDS事件订阅遇SNSInvalidTopic错误：AWS CLI失败控制台可行

你遇到的SNSInvalidTopic错误，核心原因是RDS服务无法正常访问你指定的SNS主题——虽然控制台能成功创建订阅，但CLI不会自动帮你处理权限或配置细节，我给你梳理几个针对性的排查和解决步骤：

1. 给SNS主题添加RDS服务的发布权限 #

AWS控制台创建RDS事件订阅时，会自动为SNS主题添加允许RDS发布消息的资源策略，但CLI创建时没有这个自动配置步骤。你需要手动给目标SNS主题添加权限：

执行以下CLI命令（替换成你的实际主题ARN）更新策略：

aws sns set-topic-attributes --topic-arn arn:aws:sns:us-east-2:XXXXXXXX:RDS-replication-alarms --attribute-name Policy --attribute-value '{
  "Version": "2008-10-17",
  "Id": "RDS-Subscription-Policy",
  "Statement": [
    {
      "Sid": "Allow-RDS-to-publish",
      "Effect": "Allow",
      "Principal": {
        "Service": "rds.amazonaws.com"
      },
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:us-east-2:XXXXXXXX:RDS-replication-alarms"
    }
  ]
}'

完成后重新执行RDS事件订阅的创建命令。

2. 确认CLI使用的IAM身份权限 #

你控制台和CLI使用的IAM身份可能不同，要确保CLI对应的用户/角色拥有以下权限：

• rds:CreateEventSubscription：允许创建RDS事件订阅
• sns:GetTopicAttributes：RDS需要验证SNS主题的存在性
• 同时，该IAM身份需要被允许访问目标SNS主题（可通过SNS主题策略或IAM策略配置）

3. 确保区域一致并显式指定区域 #

检查你的SNS主题（us-east-2）和目标RDS实例是否在同一区域，并且CLI执行时显式指定区域参数，避免默认区域不匹配导致的跨区域访问问题：

aws rds create-event-subscription --subscription-name rds-replica-events-subscription --sns-topic-arn arn:aws:sns:us-east-2:XXXXXXXX:RDS-replication-alarms --enabled --region us-east-2

4. 验证SNS主题ARN的准确性 #

仔细核对ARN中的账号ID、区域、主题名是否完全正确——哪怕一个字符错误都会触发SNSInvalidTopic错误。你可以用aws sns list-topics命令列出所有主题，直接复制粘贴正确的ARN到创建命令中。

内容的提问来源于stack exchange，提问作者RN.