使用CDK创建EventBridge规则时避免为Lambda添加资源策略

背景：通过CDK创建n个以Lambda为目标资源的EventBridge Rule时，EventBridge会自动为Lambda生成资源策略。当前策略包含2条语句，未来若规则数量超100条，将触发Lambda资源策略20KB的大小限制。所有规则的SourceArn均以arn:aws:events:us-east-1:XXXXXXXXXXXXX:rule/src开头，可通过通配符将策略简化为单条语句。

问题1：如何通过CDK创建EventBridge Rule时，避免为Lambda新增资源策略？ #

• 在CDK中调用addTarget绑定Lambda作为目标时，显式设置addPermission: false参数，阻止EventBridge自动生成并添加资源策略语句。以TypeScript为例：

rule.addTarget(new targets.LambdaFunction(lambdaFn, {
  addPermission: false
}));

这样创建Rule时不会修改Lambda的资源策略，后续可手动添加一条包含通配符的统一策略，覆盖所有符合条件的Rule。

问题2：是否可仅通过CDK而非SDK移除创建规则后生成的资源策略？ #

• 可以。CDK提供了直接操作Lambda权限的方法：
  1. 先添加自定义的通配符资源策略，确保所有合法的EventBridge Rule都能触发Lambda：

  lambdaFn.addPermission('EventBridgeWildcardAccess', {
    principal: new iam.ServicePrincipal('events.amazonaws.com'),
    action: 'lambda:InvokeFunction',
    sourceArn: 'arn:aws:events:us-east-1:XXXXXXXXXXXXX:rule/src*'
  });
  

  2. 调用removeAllPermissions()方法清除所有自动生成的资源策略语句（注意：此操作会移除Lambda所有已有的权限，务必先添加好自定义策略再执行）：

  lambdaFn.removeAllPermissions();
  

  也可以通过直接操作Lambda的CfnResource属性修改资源策略，但removeAllPermissions()是更简洁的方式。

问题3：有无其他可行解决方案？ #

• 引入EventBridge API Destination作为中间层：创建一个指向Lambda的API Destination，将所有EventBridge Rule的目标设为该API Destination。只需为API Destination配置一次权限，即可避免Lambda资源策略因Rule数量增长而膨胀。
• 合并相似Rule逻辑：如果业务逻辑允许，将多个功能相似的Rule合并为一个，通过事件模式的多条件匹配（如OR逻辑）触发Lambda，减少Rule的总数量，从根源上避免策略条数过多。
• 使用Lambda Event Source Mapping：如果事件来自EventBridge的事件总线，可考虑通过Event Source Mapping让Lambda直接订阅总线，不过这种方式适用于特定场景，需要根据事件过滤需求评估可行性。

内容的提问来源于stack exchange，提问作者Piyush Pranjal