API: sqs: CreateQueue всегда ОТКЛОНЕН

Question

Я пытаюсь создать очередь sqs с облачной информацией, но продолжаю получать эту ошибку в консоли.

API: sqs:CreateQueue Access to the resource https://sqs.us-east-1.amazonaws.com/ is denied.

Очевидно, что мне не хватает какого-то разрешения.В этом руководстве действительно не указано, как я могу решить эту проблему.

Вот код, который я сделал:

AWSTemplateFormatVersion: "2010-09-09"

Resources:

  MyQueue:
    Type: AWS::SQS::Queue
    Properties:
      FifoQueue: false
      QueueName: sqs-test
      ReceiveMessageWaitTimeSeconds: 20
      RedrivePolicy:
        deadLetterTargetArn:
          Fn::GetAtt:
          - "MyDLQ"
          - "Arn"
        maxReceiveCount: 4
      Tags:
      -
        Key: "ProjectName"
        Value: "project-x"

  MyDLQ:
    Type: AWS::SQS::Queue
    Properties:
      FifoQueue: false
      QueueName: sqs-dlq-test

Я пытаюсь понять это doc .Но я не уверен, как я могу прикрепить политику, позволяющую создавать очереди.Кто-нибудь, пожалуйста, дайте мне полный пример.

Answer 1

Тирон комментирует ваш вопрос.Проверьте разрешения пользователя, выполняющего CloudFormation.Если вы запускаете команды напрямую, это обычно довольно легко проверить.В некоторых случаях вы можете работать в более сложной среде с автоматизацией.

Я считаю, что лучший способ устранения проблем с разрешениями в автоматизированном мире - через CloudTrail.После сбоя любого вызова API, будь то из CLI, CloudFormation или другого источника, вы можете найти вызов в CloudTrail.

В этом случае во время поиска выполняется поиск «Event Name» = «CreateQueue»диапазон сбоя приведет к результату с деталями, подобными следующим:

• IP-адрес источника ;это поле может содержать что-то вроде cloudformation.amazonaws.com или IP-адрес вашего компьютера / офиса.Полезно, когда вам нужно отфильтровать события по источнику.
• Имя пользователя ;В моем случае это был идентификатор экземпляра EC2 агента, работающего с шаблоном CFN.
• Идентификатор ключа доступа ;Для экземпляров EC2 это, вероятно, набор учетных данных временного доступа, но для реального пользователя он покажет вам, какой ключ использовался.
• Фактические данные события ;Особенно полезно для ошибок без прав доступа, фактическое событие может показывать ошибки в самом запросе.

В моем случае конкретный экземпляр EC2, который запускал автоматизацию, устарел и должен быть обновлен доиспользуйте правильный профиль роли / экземпляра IAM.CloudTrail помог мне отследить это.