AWS 通过 Cloudwatch Event Bus 调用跨账户 lambda

Question

我在多个账户中部署了一个 AWS lambda 函数。我正在寻找一种方法来安排通过 Cloudwatch 事件总线从主帐户触发这些 lambda 函数。这可能吗？

Answer 1

请参考AWS的以下选项和相关文档；

使用 CloudWatchEvents：

一个。 Sending and Receiving Events Between AWS Accounts

b。 Cross-Account Delivery of CloudWatch Events

或

使用 Amazon EventBridge：

一个。 Simplifying cross-account access with Amazon EventBridge

b。 Sending and recieving Amazon EventBridge events between AWS accounts

Answer 2

根据@amitd 的建议，您需要实现类似的功能（使用 EventBridge 和 EventBus）。

要配置跨账户事件桥通信，需要完成以下操作。我提供示例事件和过滤器，您可以根据需要替换事件和过滤器。

要在账户 B 上执行的步骤：接收方账户

创建一个名为 event-bus-b 的事件总线。将基于资源的策略如下所示。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "WebStoreCrossAccountPublish",
    "Effect": "Allow",
    "Principal": {
      "AWS": "arn:aws:iam::<account-A>:root"
    },
    "Action": "events:PutEvents",
    "Resource": "arn:aws:events:<your-region>:<Account-B>:event-bus/event-bus-b"
  }]
}

在账户 B 中创建一条规则，我们将其命名为 eb-rule-b。在此规则中 select event-bus-b 作为源事件总线。
提供以下事件过滤器模式：

事件模式：

{
  "detail-type": [
    "uoe"
  ],
  "source": [
    "somesource"
  ]
}

此外，使用测试事件测试模式。

测试活动：

  {
  "version": "0",
  "id": "55fghj-89a9-a0b3-1ccb-79c25c7d6cd2",
  "detail-type": "uoe",
  "source": "somesource",
  "account": "<ACCOUNT_ID>",
  "time": "2020-04-24T13:53:21Z",
  "region": "<YOUR_REGION>",
  "resources": [],
  "detail": {
   "userOrg" : "OrgName" 
  }
}

Select 下拉列表中的事件总线 event-bus-b。
Select 目标“Lambda”
将您创建的事件总线的 ARN 放入账户 B。

arn:aws:lambda:<your-region>:<AccountB>:function:<AccountBLambda>

同时选中“为此特定资源创建新角色”复选框。这将在账户 A 中创建一个启用 lambda 执行的角色。
单击创建并创建规则。
现在单击事件总线 event-bus-a 并单击“发送事件”按钮。
如下所示发送一个虚拟事件，并验证事件总线与帐户 B 中的 lambda 之间的通信是否正常。
如果您在此管道中遇到问题，请参阅：https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-troubleshooting.html#eb-lam-function-not-invoked
一旦我们在账户 B 中表现良好（即我们能够通过在事件总线上发送事件来调用 lambda，按照相同的步骤配置其他账户。

要在账户 A 上执行的步骤：发件人账户

在账户A中创建一个事件总线event-bus-a。
在账户 A 中创建一条规则 eb-rule-a，其中包含以下详细信息：

事件模式：

{
  "detail-type": [
    "uoe"
  ],
  "source": [
    "somesource"
  ]
}

此外，使用测试事件测试模式。

测试活动：

  {
  "version": "0",
  "id": "55fghj-89a9-a0b3-1ccb-79c25c7d6cd2",
  "detail-type": "uoe",
  "source": "somesource",
  "account": "<ACCOUNT_ID>",
  "time": "2020-04-24T13:53:21Z",
  "region": "<YOUR_REGION>",
  "resources": [],
  "detail": {
   "userOrg" : "OrgName" 
  }
}

Select 下拉列表中的事件总线 event-bus-a。
Select 目标“不同账户或区域中的事件总线”
将您创建的事件总线的 ARN 放入账户 B。

arn:aws:events:<your-region>:<Account-B>:event-bus/event-bus-b

同时选中“为此特定资源创建新角色”复选框。这将在账户 A 中创建一个角色，使账户 A 中的用户能够在账户 b 事件总线上发布。以下策略是自动创建的，您无需执行任何操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "events:PutEvents"
            ],
            "Resource": [
                arn:aws:events:<your-region>:<Account-B>:event-bus/event-bus-b
            ]
        }
    ]
}

单击创建并创建规则。
现在单击事件总线 event-bus-a 并单击“发送事件”按钮。
提供详细信息并点击发送。

示例事件：

  {
  "version": "0",
  "id": "55fghj-89a9-a0b3-1ccb-79c25c7d6cd2",
  "detail-type": "uoe",
  "source": "somesource",
  "account": "<ACCOUNT_ID>",
  "time": "2020-04-24T13:53:21Z",
  "region": "<YOUR_REGION>",
  "resources": [],
  "detail": {
   "userOrg" : "OrgName" 
  }
}

事件将传播到帐户 B 中定义的事件总线。
对所有其他帐户重复步骤 4-10（即在同一规则中创建多个目标）。
一旦配置好账户 A 中的单个事件将传播到多个账户，您将实现必要的展开。

AWS 通过 Cloudwatch Event Bus 调用跨账户 lambda

AWS invoke cross account lambda via Cloudwatch Event Bus

amazon-web-services

amazon-cloudwatch

aws-lambda

aws-event-bridge