AWS日志告警工作流中如何将实例ID传递至Lambda函数

方法1：修改CloudWatch告警通知内容，嵌入实例ID（适配SNS/Eventbridge） #

CloudWatch告警支持自定义通知格式，你可以通过告警的通知内容配置，把日志中的实例ID注入到通知里：

• 编辑目标CloudWatch告警，找到「通知」板块
• 在「消息内容」中使用CloudWatch变量插值，如果你的指标过滤器已按instance_id作为维度统计403错误数，直接用以下模板生成JSON格式内容：

  {"instance_id": "${dimensions.instance_id}"}
  

• 保存配置后，告警触发时SNS或Eventbridge收到的消息就会包含指定格式的实例ID。

注意：如果指标过滤器没按实例ID拆分维度，需先修改过滤器，添加instance_id作为统计维度（确保日志中的实例ID能被识别为指标维度）。

方法2：通过Eventbridge规则转换事件，提取实例ID并传递给Lambda #

如果告警触发的Eventbridge事件包含日志流ARN（通常ARN里会带实例ID），可以用Eventbridge的输入转换器提取实例ID：

1. 打开Eventbridge控制台，编辑对应规则
2. 在「目标」部分选中Lambda函数，点击「输入转换器」
3. 在「输入路径」中指定从告警事件提取日志流ARN的路径，示例：

   {"logStreamARN": "$.detail.alarmDescription"}
   

   再在「输入模板」中通过字符串截取提取实例ID：

   {"instance_id": "<$.logStreamARN.split(':')[7]>"}
   

4. 保存规则后，Lambda触发时会直接收到带instance_id字段的事件。

方法3：在Lambda内部查询CloudWatch Logs获取实例ID #

如果前两种方法无法落地，可以在Lambda函数里通过API查询日志提取实例ID：

• 给Lambda的IAM角色添加logs:FilterLogEvents权限
• Python代码示例：

  import boto3
  import re
  
  def lambda_handler(event, context):
      # 从告警事件中获取日志组和时间范围
      log_group_name = event['detail']['configuration']['metrics'][0]['id']
      start_time = event['time'] - 3600  # 取告警触发前1小时的日志
      end_time = event['time']
  
      logs_client = boto3.client('logs')
      response = logs_client.filter_log_events(
          logGroupName=log_group_name,
          startTime=start_time,
          endTime=end_time,
          filterPattern='403'
      )
  
      # 从日志条目中匹配实例ID
      instance_id = None
      log_pattern = re.compile(r'instance_id: (i-\w+)')
      for log_event in response['events']:
          match = log_pattern.search(log_event['message'])
          if match:
              instance_id = match.group(1)
              break
  
      if instance_id:
          # 执行隔离逻辑，比如切换到隔离安全组
          ec2_client = boto3.client('ec2')
          ec2_client.modify_instance_attribute(
              InstanceId=instance_id,
              Groups=['sg-xxxxxxx']  # 替换为你的隔离安全组ID
          )
  

关键前提 #

无论用哪种方法，都要确保日志条目里的实例ID格式可被识别（比如instance_id: i-xxxx），并且指标过滤器能关联到instance_id维度，这样告警才能绑定到具体的EC2实例。

内容的提问来源于stack exchange，提问作者user28806390