Cost Explorer显示S3 ListBuckets高额费用，CloudTrail日志无匹配记录原因排查

• CloudTrail配置存在遗漏

  • 确认是否开启了多区域追踪：ListBuckets是不绑定特定区域的全局操作，如果CloudTrail只开了单区域追踪，其他区域发起的调用不会被记录。
  • 检查事件选择器的排除规则：哪怕你勾选了“记录所有管理类事件”，也可能不小心把s3:ListAllMyBuckets加入了排除列表，导致这类调用完全没被记录。
  • 验证是否记录失败调用：Cost Explorer会统计所有调用（包括权限不足、参数错误这类失败请求），如果CloudTrail只勾选记录“成功事件”，那些失败的ListBuckets调用就不会出现在日志里，这会直接造成巨大的数量差。

• API对应关系明确
  Cost Explorer里的“ListBuckets”就是对应CloudTrail日志中的s3:ListAllMyBuckets动作，不存在映射到其他API的情况，这点可以确定。

• 其他可能的差异原因

  • 跨账户调用未被覆盖：如果有外部账户通过IAM角色、访问密钥等方式发起ListBuckets调用，要确认当前CloudTrail是否记录跨账户事件，或者有没有其他没查看的CloudTrail追踪器。
  • CloudTrail角色权限不足：如果用了自定义的IAM角色给CloudTrail，得确保这个角色有足够权限记录事件，比如cloudtrail:PutEventSelectors和日志写入权限，不然可能漏记部分调用。
  • AWS内部服务的特殊调用：极少数情况下，AWS内部服务的后台调用可能不会被CloudTrail记录，但这类调用数量通常很少，不会造成这么悬殊的差异。

内容的提问来源于stack exchange，提问作者Aditya Agarwal