了解如何在 Amazon SQS 中配置死信队列重新驱动

1. 通过以下网址打开 Amazon SQS 控制台：https://console.aws.amazon.com/sqs/。

2. 在导航窗格中，选择 Queues (队列)。

3. 选择已配置为死信队列的队列名称。

4. 选择开始 DLQ 重新驱动。

5. 在重新驱动配置下，对于消息目标，执行以下任一操作：

   • 要将消息重新驱动到其源队列，请选择重新驱动到源队列。

   • 要将消息重新驱动到其他队列，请选择驱动到自定义目标。然后，输入现有目标队列的 Amazon 资源名称 (ARN)。

6. 在速度控制设置下，选择以下一个选项：

   • 系统优化 - 以每秒最大消息数重新驱动死信队列消息。

   • 自定义最大速度 - 使用自定义每秒最大消息速率重新驱动死信队列消息。允许的最大速率为每秒 500 条消息。

     • 建议从“自定义最大速度”的较小值开始，并验证源队列不会被消息淹没。在这里，逐渐增加“自定义最大速度”值，继续监控源队列的状态。

7. 配置完死信队列重新驱动后，选择重新驱动消息。

   重要

   Amazon SQS 不支持在将消息从死信队列中重新驱动时筛选和修改消息。

   死信队列重新驱动任务最多可以运行 36 小时。Amazon SQS 支持每个账户最多 100 个活跃的重新驱动任务。

8. 如果要取消消息重新驱动任务，请在队列的详细信息页面上，选择取消 DLQ 重新驱动。取消正在进行的消息重新驱动时，任何已经成功移至其移动目标队列的消息都将保留在目标队列中。

为加密队列对（带有死信队列的源队列）配置权限

使用以下步骤配置死信队列重新驱动的最低权限：

1. 登录到 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择策略。

3. 创建具有以下权限的策略，并将其附加到您的登录 IAM 用户或角色：

   • sqs:StartMessageMoveTask

   • sqs:CancelMessageMoveTask

   • sqs:ListMessageMoveTasks

   • sqs:ListDeadLetterSourceQueues

   • sqs:ReceiveMessage

   • sqs:DeleteMessage

   • sqs:GetQueueAttributes

   • 死信队列的 Resource ARN（例如，“arn:aws:sqs:<DLQ_region>:<DLQ_accountId>:<DLQ_name>”）。

   • sqs:SendMessage

   • 目标队列的 Resource ARN（例如，“arn:aws:sqs:<DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>”）。

   • kms:Decrypt - 允许解密操作。

   • kms:GenerateDataKey

   • 已用于加密原始源队列消息的 KMS 加密密钥的 Resource ARN（例如，“arn:aws:kms:<region>:<accountId>:key/<keyId_used to encrypt the message body>”）。

   • 用于重新驱动目标队列的 KMS 加密密钥的资源 ARN（例如，“arn:aws:kms:<region>:<accountId>:key/<keyId_used for the destination queue>”）。

   访问策略应类似下文：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "sqs:StartMessageMoveTask",
           "sqs:CancelMessageMoveTask",
           "sqs:ListMessageMoveTasks",
           "sqs:ReceiveMessage",
           "sqs:DeleteMessage",
           "sqs:GetQueueAttributes",
           "sqs:ListDeadLetterSourceQueues"
         ],
         "Resource": "arn:aws:sqs:<DLQ_region>:<DLQ_accountId>:<DLQ_name>"
       },
       {
         "Effect": "Allow",
         "Action": "sqs:SendMessage",
         "Resource": "arn:aws:sqs:<DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>"
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Decrypt",
           "kms:GenerateDataKey"
         ],
         "Resource": "arn:aws:kms:<region>:<accountId>:key/<keyId>"
       }
     ]
   }

使用非加密队列对（带有死信队列的源队列）配置权限

使用以下步骤为未加密的标准死信队列配置最低权限：所需的最低权限包括：从死信队列中接收、删除和获取属性，以及向源队列发送属性。

1. 登录到 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择策略。

3. 创建具有以下权限的策略，并将其附加到您的登录 IAM 用户或角色：

   • sqs:StartMessageMoveTask

   • sqs:CancelMessageMoveTask

   • sqs:ListMessageMoveTasks

   • sqs:ListDeadLetterSourceQueues

   • sqs:ReceiveMessage

   • sqs:DeleteMessage

   • sqs:GetQueueAttributes

   • 死信队列的 Resource ARN（例如，“arn:aws:sqs:<DLQ_region>:<DLQ_accountId>:<DLQ_name>”）。

   • sqs:SendMessage

   • 目标队列的 Resource ARN（例如，“arn:aws:sqs:<DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>”）。

   访问策略应类似下文：

   {
   "Version": "2012-10-17",
     "Statement": [
       {
   "Effect": "Allow",
         "Action": [
           "sqs:StartMessageMoveTask",
           "sqs:CancelMessageMoveTask",
           "sqs:ListMessageMoveTasks",
           "sqs:ReceiveMessage",
           "sqs:DeleteMessage",
           "sqs:GetQueueAttributes",
           "sqs:ListDeadLetterSourceQueues"
         ],
         "Resource": "arn:aws:sqs:<DLQ_region>:<DLQ_accountId>:<DLQ_name>"
       },
       {
   "Effect": "Allow",
         "Action": "sqs:SendMessage",
         "Resource": "arn:aws:sqs:<DestQueue_region>:<DestQueue_accountId>:<DestQueue_name>"
       }
     ]
   }