Erfahren Sie, wie Sie in Amazon SQS eine Warteschlange mit unerlaubten Briefen konfigurieren

1. Öffnen Sie die Amazon SQS SQS-Konsole unter https://console.aws.amazon.com/sqs/.

2. Wählen Sie im Navigationsbereich Queues (Warteschlangen) aus.

3. Wählen Sie den Namen der Warteschlange, die Sie als Warteschlange für unzustellbare Nachrichten konfiguriert haben.

4. Wählen Sie DLQ-Redrive starten.

5. Führen Sie unter Redrive-Konfiguration für Nachrichtenziel einen der folgenden Schritte aus:

   • Um Nachrichten erneut in ihre Quellwarteschlange weiterzuleiten, wählen Sie Redrive zu Quell-Warteschlange(n).

   • Um Nachrichten erneut in eine andere Warteschlange weiterzuleiten, wählen Sie Redrive zu benutzerdefiniertem Ziel. Geben Sie dann den Amazon-Ressourcennamen (ARN) einer vorhandenen Zielwarteschlange an.

6. Wählen Sie unter Einstellungen für die Geschwindigkeitssteuerung eine der folgenden Optionen aus:

   • Systemoptimiert – Redrive von Nachrichten aus der Warteschlange für unzustellbare Nachrichten mit der maximalen Anzahl an Nachrichten pro Sekunde.

   • Benutzerdefinierte maximale Geschwindigkeit – Redrive von Nachrichten aus der Warteschlange für unzustellbare Nachrichten mit einer benutzerdefinierten Höchstrate an Nachrichten pro Sekunde. Die maximal zulässige Rate beträgt 500 Nachrichten pro Sekunde.

     • Es wird empfohlen, mit einem kleinen Wert für die benutzerdefinierte maximale Geschwindigkeit zu beginnen und sicherzustellen, dass die Quellwarteschlange nicht mit Nachrichten überfüllt wird. Erhöhen Sie von dort aus schrittweise den Wert für die benutzerdefinierte maximale Geschwindigkeit und überwachen Sie weiterhin den Status der Quellwarteschlange.

7. Wenn Sie mit der Konfiguration des Redrives für die Warteschlange für unzustellbare Nachrichten fertig sind, wählen Sie Nachrichten-Redrive aus.

   Wichtig

   Amazon SQS unterstützt das Filtern und Ändern von Nachrichten nicht, während sie aus der Warteschlange für unzustellbare Nachrichten zurückgeleitet werden.

   Eine Redrive-Aufgabe für eine Warteschlange für unzustellbare Nachrichten kann maximal 36 Stunden lang ausgeführt werden. Amazon SQS unterstützt maximal 100 aktive Redrive-Aufgaben pro Konto.

8. Wenn Sie die Nachrichten-Redrive-Aufgabe abbrechen möchten, wählen Sie auf der Seite Details für Ihre Warteschlange die Option DLQ-Redrive abbrechen aus. Wenn Sie einen in Bearbeitung befindlichen Nachrichten-Redrive stornieren, verbleiben alle Nachrichten, die bereits erfolgreich in die Warteschlange für die Übertragung von Nachrichten verschoben wurden, in der Zielwarteschlange.

So konfigurieren Sie Berechtigungen für ein unverschlüsseltes Warteschlangenpaar (eine Quellwarteschlange mit einer Warteschlange für unzustellbare Nachrichten)

Gehen Sie wie folgt vor, um Mindestberechtigungen für eine Dead-Letter-Queue (DLQ) -Redrive zu konfigurieren:

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Klicken Sie im Navigationsbereich auf Policies (Richtlinien).

3. Erstellen Sie eine neue Richtlinie und fügen Sie die folgenden Berechtigungen hinzu. Ordnen Sie die Richtlinie dem IAM-Benutzer oder der IAM-Rolle zu, die den Redrive-Vorgang ausführen wird.

   • Berechtigungen für die DLQ (Quellwarteschlange):

     • sqs:StartMessageMoveTask

     • sqs:CancelMessageMoveTask

     • sqs:ListMessageMoveTasks

     • sqs:ReceiveMessage

     • sqs:DeleteMessage

     • sqs:GetQueueAttributes

     • sqs:ListDeadLetterSourceQueues

     • Geben Sie den Ressourcen-ARN der DLQ (Quellwarteschlange) an (z. B. „arn:aws:sqs::: „). <DLQ_region> <DLQ_accountId> <DLQ_name>

   • Berechtigungen für die Zielwarteschlange:

     • sqs:SendMessage

     • Geben Sie die Resource ARN Zielwarteschlange an (z. B. „arn:aws:sqs: „). <DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>

   • Berechtigungen für KMS-Schlüssel:

     • kms:Decrypt(Wird benötigt, um Nachrichten in der DLQ zu entschlüsseln.)

     • kms:GenerateDataKey(Wird benötigt, um Nachrichten in der Zielwarteschlange zu verschlüsseln.)

       • Resource ARNs:

         • Der ARN des KMS-Schlüssels, der zum Verschlüsseln von Nachrichten in der DLQ (Quellwarteschlange) verwendet wird (z. B. „arn:aws:kms: ::key/“). <region> <accountId> <SourceQueueKeyId>

         • Der ARN des KMS-Schlüssels, der zum Verschlüsseln von Nachrichten in der Zielwarteschlange verwendet wird (z. B. „arn:aws:kms: ::key/“). <region> <accountId> <DestinationQueueKeyId>

   Ihre Zugriffsrichtlinie sollte wie folgt aussehen:

   JSON

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "sqs:StartMessageMoveTask",
                   "sqs:CancelMessageMoveTask",
                   "sqs:ListMessageMoveTasks",
                   "sqs:ReceiveMessage",
                   "sqs:DeleteMessage",
                   "sqs:GetQueueAttributes",
                   "sqs:ListDeadLetterSourceQueues"
               ],
               "Resource": "arn:aws:sqs:<DLQ_region>:<DLQ_accountId>:<DLQ_name>",
               "Condition": {
                   "StringEquals": {
                       "aws:ResourceTag/QueueRole": "source"
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": "sqs:SendMessage",
               "Resource": "arn:aws:sqs:<DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>",
               "Condition": {
                   "StringEquals": {
                       "aws:ResourceTag/QueueRole": "destination"
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt",
                   "kms:GenerateDataKey"
               ],
               "Resource": [
                   "arn:aws:kms:<region>:<accountId>:key/<SourceQueueKeyId>",
                   "arn:aws:kms:<region>:<accountId>:key/<DestQueueKeyId>"
               ]
           }
       ]
   }
   

So konfigurieren Sie Berechtigungen mithilfe eines unverschlüsselten Warteschlangenpaars (einer Quellwarteschlange mit einer Warteschlange für unzustellbare Nachrichten)

Gehen Sie wie folgt vor, um die Mindestberechtigungen zu konfigurieren, die für den Umgang mit einer standardmäßigen, unverschlüsselten Warteschlange mit unerlaubten Briefen (DLQ) erforderlich sind. Erforderliche Mindestberechtigungen sind diejenigen zum Empfangen, Löschen und Abrufen von Attributen aus der Warteschlange für unzustellbare Nachrichten sowie für das Senden von Attributen an die Quellwarteschlange.

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Klicken Sie im Navigationsbereich auf Policies (Richtlinien).

3. Erstellen Sie eine neue Richtlinie und fügen Sie die folgenden Berechtigungen hinzu. Ordnen Sie die Richtlinie dem IAM-Benutzer oder der IAM-Rolle zu, die den Redrive-Vorgang ausführen wird.

   • Berechtigungen für die DLQ (Quellwarteschlange):

     • sqs:StartMessageMoveTask

     • sqs:CancelMessageMoveTask

     • sqs:ListMessageMoveTasks

     • sqs:ReceiveMessage

     • sqs:DeleteMessage

     • sqs:ListDeadLetterSourceQueues

     • Geben Sie den Ressourcen-ARN der DLQ (Quellwarteschlange) an (z. B. „arn:aws:sqs::: „). <DLQ_region> <DLQ_accountId> <DLQ_name>

   • Berechtigungen für die Zielwarteschlange:

     • sqs:SendMessage

     • Geben Sie die Resource ARN Zielwarteschlange an (z. B. „arn:aws:sqs: „). <DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>

   Ihre Zugriffsrichtlinie sollte wie folgt aussehen:

   JSON

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "sqs:StartMessageMoveTask",
                   "sqs:CancelMessageMoveTask",
                   "sqs:ListMessageMoveTasks",
                   "sqs:ReceiveMessage",
                   "sqs:DeleteMessage",
                   "sqs:GetQueueAttributes",
                   "sqs:ListDeadLetterSourceQueues"
               ],
               "Resource": "arn:aws:sqs:<DLQ_region>:<DLQ_accountId>:<DLQ_name>",
               "Condition": {
                   "StringEquals": {
                       "aws:ResourceTag/QueueRole": "source"
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": "sqs:SendMessage",
               "Resource": "arn:aws:sqs:<DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>",
               "Condition": {
                   "StringEquals": {
                       "aws:ResourceTag/QueueRole": "destination"
                   }
               }
           }
       ]
   }
   

1. Verwenden Sie die aws:CalledViaLast Bedingung in Ihrer Warteschlangenrichtlinie.

2. Wenden Sie die Richtlinie sowohl auf die Quellwarteschlange als auch auf die DLQ an

3. Halten Sie VPC-Einschränkungen für den direkten Zugriff aus anderen Quellen aufrecht