通过 HTTP 确认 SNS 订阅时出现 AuthorizationError

Question

我正在编写一个简单的 SNS 客户端，旨在为自己订阅一个 SNS 主题，然后监听通知。我可以成功提交 sns.subscribe 请求，但是当我从 AWS 获取 SubscriptionConfirmation POST 消息并尝试使用 sns.confirmSubscription 进行响应时，我收到了 AuthorizationError 返回：

[AuthorizationError: User: arn:aws:iam::xxx:user/mv-user is not authorized to perform: SNS:ConfirmSubscription on resource: arn:aws:sns:us-east-1:xxx:*]

如果我在对服务器的 GET 查询中使用完全相同的 Token 和 TopicArn，则订阅确认工作正常，无需身份验证。

任何想法为什么它不起作用？我的 SNS 主题非常开放，发布/订阅权限设置为“所有人”。

作为参考，我的代码是这样的：

        var params = {
            TopicArn: topicArn,  // e.g. arn:aws:sns:us-east-1:xxx:yyy
            Token: token         // long token extracted from POST body
        };

        sns.confirmSubscription(params, function (err, data) {
            if (err) {
                // BOOOM - keep getting here with AuthorizationError
            } else {
                // Yay. Worked, but never seem to get here :(
            }
        });

但是，如果我在浏览器中导航到与此类似的 URL（即完全未经身份验证），它会完美运行：

http://sns.us-east-1.amazonaws.com/?Action=ConfirmSubscription&Token=<token>&TopicArn=arn%3Aaws%3Asns%3Aus-east-1%3Axxx%3Ayyy&Version=2010-03-31

唯一的区别似乎是在程序版本中包含“授权”和“签名”标头（使用 Wireshark 检查）。

有什么想法吗？提前致谢！

更新

在我的代码中，如果我只是以编程方式对SubscriptionConfirmation 消息中的SubscribeURL 执行一个简单的GET 请求，则可以正常工作。 confirmSubscription API 调用不起作用似乎很奇怪。现在可能会坚持使用这种解决方法。

更新 2

调用sns.unsubscribe 时也会出现同样的错误，尽管在每个通知中调用UnsubscribeURL 仍然有效。似乎其他人也遇到了这个问题，但找不到任何解决方案。

Answer 1

我在开发应用程序时遇到了类似的问题。 我最终解决它的方式如下：

1. 转到 IAM 并点击您的用户
2. 转到权限选项卡并单击“附加策略”
3. 使用过滤器过滤“AmazonSNSFullAccess”
4. 将上述策略附加到您的用户。

上面应该照顾它。

如果您想花点心思，您可以创建一个基于“AmazonSNSFullAccess”的自定义策略并将其应用于您的用户。

自定义策略类似于以下内容：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Action": [
            "sns:ConfirmSubscription"
        ],
        "Effect": "Allow",
        "Resource": "YOUR_RESOURCE_ARN_SHOULD_BE_HERE"
    }
]
}

Answer 2

错误说明了一切：

[AuthorizationError: User: arn:aws:iam::xxx:user/mv-user is not authorized to perform: SNS:ConfirmSubscription on resource: arn:aws:sns:us-east-1:xxx:*]

基本上是在告诉您，您用来调用 ConfirmSubscription 的 IAM 用户没有执行此操作的适当权限。最好的办法是更新该 IAM 用户的权限，特别是添加 ConfirmSubscription 权限。

（根据您的 cmets，即使文档另有说明，该错误也非常具体......可能值得直接与 AWS 跟进此问题，因为错误消息或文档不正确）。