如何配置CloudTrail排除CloudWatch事件并仅记录写入操作？

问题原因拆解 #

1. 第一个报错（InvalidEventSelectorsException）：CloudTrail的规则明确，当eventCategory设为Management时，高级事件选择器不支持用eventSource做筛选。管理事件的筛选只能用readOnly、eventName、resources.type、userIdentity.*这类字段，eventSource只允许在数据事件的筛选里使用。

2. 第二个报错（UnsupportedOperationException）：你创建的是多区域追踪（--is-multi-region-trail），而多区域追踪的高级事件选择器不支持通过resources.type指定资源类型来筛选管理事件——这是多区域追踪的功能限制，和eu-west-1区域是否支持无关。

可行解决方案 #

你的核心需求是记录工程师的管理类写入操作，排除Lambda触发的CloudWatch相关事件，以下两种方案直接解决问题：

方案1：通过用户身份排除Lambda角色操作 #

Lambda调用CloudWatch Logs用的是它的执行角色，而工程师操作用的是IAM用户或专属运维角色。直接筛选用户身份，排除Lambda角色的操作：

aws cloudtrail put-event-selectors --trail-name existing-management-trail --region eu-west-1 --advanced-event-selectors "[{\"Name\":\"Engineer Write Management Events\",\"FieldSelectors\":[{\"Field\":\"eventCategory\",\"Equals\":[\"Management\"]},{\"Field\":\"readOnly\",\"Equals\":[\"false\"]},{\"Field\":\"userIdentity.type\",\"NotEquals\":[\"AWSService\"]},{\"Field\":\"userIdentity.arn\",\"NotContains\":[\"lambda.amazonaws.com\"]}]}]"

• userIdentity.type: NotEquals["AWSService"]：排除AWS服务自身发起的操作
• userIdentity.arn: NotContains["lambda.amazonaws.com"]：Lambda执行角色的ARN里都会带这个字符串，直接排除这类角色的操作

方案2：通过事件名称排除CloudWatch Logs操作 #

如果要精准排除所有CloudWatch日志相关的管理事件，直接用eventName过滤：

aws cloudtrail put-event-selectors --trail-name existing-management-trail --region eu-west-1 --advanced-event-selectors "[{\"Name\":\"Write Management Events (Exclude CloudWatch Logs)\",\"FieldSelectors\":[{\"Field\":\"eventCategory\",\"Equals\":[\"Management\"]},{\"Field\":\"readOnly\",\"Equals\":[\"false\"]},{\"Field\":\"eventName\",\"NotContains\":[\"Log\",\"Logs\"]}]}]"

这个方案会排除所有名称带Log或Logs的管理事件，适合完全不需要CloudWatch日志管理操作记录的场景。

额外优化：检查并关闭数据事件 #

如果你的CloudTrail之前开了数据事件（比如CloudWatch Logs的PutLogEvents），这会爆增事件量和成本。先查一下当前配置：

aws cloudtrail get-event-selectors --trail-name existing-management-trail --region eu-west-1

如果发现有数据事件的配置，更新事件选择器时把这部分删掉就行。

重要提示 #

• 管理事件不能用eventSource筛选是AWS的硬性规则，只能通过用户身份、事件名称这类字段间接排除目标事件。
• 多区域追踪的高级事件选择器功能受限，要是想用resources.type筛选，得建单区域追踪，但这可能不符合你跨区域监控的需求，所以优先选方案1。

内容的提问来源于stack exchange，提问作者Radderz