配置AWS CloudTrail记录DynamoDB流事件无日志输出问题排查

用户最初配置CloudTrail事件数据源追踪DynamoDB的PutItem操作，能正常捕获事件但仅包含键值；开启DynamoDB流（视图类型NEW_AND_OLD_IMAGES）并修改数据源配置为追踪流ARN后，日志中始终无事件生成，可能的原因如下：

• CloudTrail不直接采集DynamoDB流事件
  DynamoDB流的事件数据不会主动发送到CloudTrail，CloudTrail的核心功能是记录AWS服务的API调用操作（比如PutItem、UpdateItem这类请求），而DynamoDB流的内容（完整的新旧项数据）属于表的变更数据流，需要通过Lambda等计算服务主动消费，再将数据转发到日志存储服务，无法通过CloudTrail事件数据源直接捕获。

• 数据源配置的字段选择器不符合CloudTrail事件结构
  CloudTrail记录的DynamoDB相关事件中，resources.type始终对应AWS::DynamoDB::Table，不会出现AWS::DynamoDB::Stream——只有当调用DynamoDB流的API（如DescribeStream、GetShardIterator）时，CloudTrail才会记录对应的流资源类型，但这类事件并非你需要的表变更内容。

• 权限配置存在缺失（非核心原因）
  即便忽略核心逻辑问题，CloudTrail关联的IAM角色如果没有读取DynamoDB流的权限，也会导致无法捕获数据，但这不是无事件生成的主要原因，因为CloudTrail本身就不处理流数据的采集。

正确的完整数据记录方案 #

如果需要记录DynamoDB表变更的完整项内容，正确流程是：

1. 保持DynamoDB流开启状态（视图类型设为NEW_AND_OLD_IMAGES）
2. 创建Lambda函数，将该DynamoDB流设置为Lambda的触发源
3. 在Lambda函数中编写逻辑，将流事件中的完整项数据写入CloudWatch Logs、S3，或者以CloudTrail兼容格式写入CloudTrail Lake，以此实现完整数据的留存与查询

内容的提问来源于stack exchange，提问作者paulmdavies