AWS帳號充值 AWS Budgets 預算告警郵件沒有發送？SNS 訂閱與 IAM 權限診斷

先釐清：AWS Budgets 沒寄信，問題常不在「信件」本身

很多人第一次碰到 AWS Budgets 告警不發送時，第一反應是「郵件壞了」；但實務上，真正出問題的通常不是電子郵件服務，而是整條通知鏈路中的某一段。Budgets 的通知流程，往往是先由預算事件觸發，再送到 SNS 主題，最後由 SNS 依訂閱類型轉發到信箱。如果其中任何一環沒設定好，收件匣就不會看到任何東西。

所以排查這類問題，不能只看 Budgets 介面有沒有建立預算，也不能只看 SNS 裡有沒有訂閱項目。你要把它拆成三段：Budgets 是否真的觸發、SNS 是否成功接收、訂閱端是否真正可投遞。若再往前一步，還要確認建立這些設定的人，是否有足夠的 IAM 權限。很多「看起來都設好了」的案例，其實是權限或確認信被忽略，導致整個流程卡在最前面。

第一步：確認 Budgets 通知有沒有真的觸發

先不要急著查郵件，先回到 AWS Budgets 本身。預算通知要發出，必須同時符合幾個條件：預算金額已建立、門檻值已設定、通知類型正確，而且時間範圍要落在會觸發通知的區間。最常見的誤判是，使用者把門檻設成 100%，但預算還沒跑到那個比例；或者設定的是實際金額，卻誤以為消耗一筆小額費用就會觸發。

另外，Budgets 的通知也可能因為「篩選條件太嚴」而沒被觸發。例如你把服務、帳號、標籤或成本類別限制得過窄，實際費用沒有落在那個集合裡，預算自然不會達標。建議先用最寬鬆的條件測試，確認基本通知能發，再逐步加上過濾條件。

如果你是透過預算的測試通知功能來驗證，也要注意這不等於完整的投遞測試。測試成功只代表你按下了測試按鈕，不代表正式觸發時整條鏈路沒有配置問題。真正該看的，是實際預算事件發生後，SNS 端是否收到訊息。

第二步：檢查 SNS 訂閱是否真的完成

AWS Budgets 透過 SNS 發通知時，最容易被忽略的環節就是訂閱狀態。SNS 的 email 訂閱不是建立後就立刻生效，而是要到信箱中點擊確認連結，狀態變成已確認之後，才會開始接收訊息。很多人建立完訂閱後就以為完成了，結果信件一直沒來，其實問題根本在「還沒確認」。

你可以先到 SNS 主題底下查看訂閱清單，確認目標 email 的狀態。如果顯示 Pending confirmation，就代表還沒完成驗證。這時最常見的情況有兩種：一是確認信被垃圾郵件過濾了，二是收件信箱根本不是當初填寫的那個。尤其在公司環境裡，如果用的是群組信箱、轉寄信箱或郵件閘道，確認信很容易被攔截。

若訂閱已經是 confirmed，卻仍然收不到通知，就要繼續往下查主題是否真的有收到訊息。因為 SNS 訂閱成功，只代表「可以收」，不代表「有東西可收」。

確認信沒收到時，先做這三件事

第一，直接搜尋信箱中的 AWS SNS 確認信，包含垃圾郵件與隔離區。第二，檢查是否使用了錯誤的 email 地址，尤其是多個環境共用管理信箱時最容易出錯。第三，如果你的組織有郵件安全策略，確認外部系統寄出的驗證信是否被擋下。很多時候不是 AWS 沒寄，而是信到了門口就被防火牆攔住了。

第三步：SNS 主題政策要允許 Budgets 發布訊息

Budgets 要把通知送進 SNS 主題，主題本身必須允許該服務發布訊息。也就是說，不只是你有權限建立主題，還要主題策略接受來自預算服務的 publish 動作。若這一步沒設好，Budgets 端看起來像是正常送出，但 SNS 實際上會拒絕接收。

這種問題最麻煩的地方在於，使用者常常只看訂閱結果，卻沒看主題政策。從介面上看，主題存在、訂閱存在、狀態也正常，偏偏通知就是不來。遇到這種狀況，第一個要查的就是 SNS Topic Policy。政策裡面應該明確允許 Budgets 服務發佈訊息，並且最好限制來源，避免授權過寬。

如果你是跨帳號或多環境共用主題，也要特別留意資源擁有者與發布者是否屬於同一個帳號。Budgets 通知通常是依帳號內的預算設定來發送，若你用錯主題、錯帳號或錯環境，訊息會卡在權限層。這也是為什麼很多團隊在正式環境設好後，測試環境卻永遠收不到，根本原因不是通知失效，而是主題配置不一致。

第四步：IAM 權限不足，常讓設定在建立時就已失敗

除了訊息發送端，建立與管理 Budgets、SNS 訂閱、主題資源的人，也需要足夠的 IAM 權限。這個問題有時候不會直接報出很明顯的錯誤，只是某些步驟沒有真的寫入成功。你以為已經儲存了，實際上某個動作被拒絕，導致後續通知無法串起來。

例如，建立預算的人需要能管理 Budgets 相關資源；若要把通知送到 SNS，還需要對 SNS 主題具有可讀可用的權限。有些團隊會讓開發或財務人員使用受限角色建立預算，結果角色只能看不能改，或只能建立但無法綁定主題。表面上像是流程完成，實際上主題關聯根本沒有成功。

如果你是在自動化腳本或 Terraform 裡建立這套流程，更要注意執行身分的權限。IAM Policy 可能允許建立預算，但不允許列出或選取 SNS 主題；也可能允許建立主題，卻沒有權限修改主題政策。這種情況下，錯誤不一定每次都顯性顯示，因此最好在建立後逐項回看實際資源狀態，而不是只看執行結果顯示成功。

常見的 IAM 排查方向

先確認執行者是否有建立與修改 Budgets 的權限，再確認是否有對 SNS 進行列出、建立訂閱或檢視主題的權限。若有使用自訂政策，檢查是否把資源 ARN 綁得太死，導致只能操作部分主題。若是透過角色切換進行設定，也要確認信任關係是否正確，不然看似登入成功，實際操作權限仍不足。

第五步：把整條通知路徑拆開驗證

排查問題最有效的方法，不是猜，而是把鏈路拆開。一條完整路徑通常是：Budgets 產生通知 → SNS 主題接收 → SNS 訂閱轉送 → 收件匣收到郵件。你要逐段確認，而不是一次看全部。只要某一段有問題，後面都不會成功。

第一段，確認預算確實超過門檻，最好把門檻暫時設低一些做測試。第二段，查看 SNS 主題是否有最近的訊息紀錄或訂閱活動。第三段，確認訂閱狀態是否為已確認。第四段，檢查信箱是否被規則、垃圾郵件或公司安全設備攔截。這種拆解方式看似麻煩，卻能最快定位問題。

如果你只是一味地重新建立預算、刪掉重建主題，通常只會讓問題更難追。因為真正的錯誤可能一直沒被看見，新的資源只是把舊問題複製一次。先定位，再修正，效率會高得多。

第六步：幾個最常見、也最容易被忽略的坑

第一個坑是把通知當成即時訊息。AWS Budgets 的告警並不保證像聊天軟體一樣秒到，特別是在剛達門檻時，系統可能需要一些時間處理。第二個坑是確認信過期。SNS 的 email 訂閱如果長時間沒確認，系統仍然會保留訂閱資訊，但實際上不會投遞。

第三個坑是重複建立多個相似主題與訂閱，結果通知被送到另一個沒人看的信箱。第四個坑是測試用信箱和正式用信箱不是同一個人，造成「我沒收到」與「有人收到了」同時存在。第五個坑則是安全政策太嚴，企業郵件系統把外部驗證信、通知信一起攔掉。

還有一個很實際的問題：帳單與預算屬於財務敏感資訊，很多公司會要求通知只能送到特定群組信箱。這時不只 AWS 設定要正確，群組信箱本身也要能接收外部信件，且不要把通知自動轉進封閉流程裡，不然你會以為「沒寄」，其實只是被轉走了。

第七步：一套實用的排查順序

如果你現在就遇到問題，建議照這個順序查：

AWS帳號充值 先看 Budgets 的門檻是否真的會觸發，再看通知是否綁定正確的 SNS 主題。接著到 SNS 檢查訂閱狀態是不是已確認，然後檢查主題政策有沒有允許 Budgets 發布。再回頭看建立這些資源的 IAM 角色或使用者，有沒有足夠權限完成全部設定。最後才查收件匣、垃圾郵件與企業郵件過濾規則。

AWS帳號充值 這個順序的好處，是先找最有可能的斷點，再逐步往後排除。大多數案例都能在前三步找到原因。真正卡很久的，通常不是 AWS 的核心功能壞掉，而是人為設定沒有完全連上。

結語：告警沒來，不代表系統沒動作

AWS Budgets 預算告警沒有發送，從來不是單一故障，而是通知鏈上的某個環節失效。你要同時看 Budgets、SNS、訂閱確認、主題政策與 IAM 權限，才能真正找到根因。只要把流程拆開，問題通常不難解。

最重要的是建立一個觀念：預算告警不是「設定一次就永遠正常」的功能。當帳號、角色、主題、信箱或安全政策有變動時，通知就可能中斷。定期檢查設定，保留一組可驗證的測試流程，才能確保真正超支時，警報真的會進到你該看的地方。