检测AWS角色的创建或更新，并触发lambda

Question

我正在尝试找到一种在创建或更新或AWS中的角色上触发Lambda的方法。

用例是，当创建角色时，我们需要使用新的或更改的角色来更新Identity Server。

我正在看云踪迹，并且结果参差不齐。我可以安排一个lambda来运行，但我希望使其更实时。

有什么想法吗？

Answer 1

听起来像采用CloudTrail的方式正是AWS的建议。

您遇到了什么问题？

  

AWS CloudTrail将日志保存到S3存储桶（对象创建的事件）。

     

Amazon S3检测到对象创建的事件。

     

Amazon S3通过以下方式将s3：ObjectCreated：*事件发布到AWS Lambda   调用存储桶通知中指定的Lambda函数   组态。因为Lambda函数的访问权限策略   包括Amazon S3调用该功能的权限，Amazon S3   可以调用该函数。

     

AWS Lambda通过承担执行角色来执行Lambda函数   在创建Lambda函数时指定的值。

     

Lambda函数读取以以下形式接收到的Amazon S3事件：   参数，确定CloudTrail对象在哪里，读取   CloudTrail对象，然后处理   CloudTrail对象。

Answer 2

您可以确保存在针对IAM策略更改等的日志指标过滤器和警报。

例如，警报可以向SNS发送消息。

Lambda可以由该SNS消息触发。

通过将CloudTrail日志定向到CloudWatch Logs并建立相应的指标过滤器和警报，可以实现对API调用的实时监视。建议建立度量过滤器和警报，以更改身份和访问管理（IAM）策略。