Secrets Manager密钥旋转成功后Lambda未触发问题排查及方案咨询

我想在AWS Secrets Manager密钥完成旋转时触发Lambda函数，按照官方文档通过CloudTrail+EventBridge实现。现在CloudTrail能看到密钥旋转成功的RotationSucceeded事件，但配置好自定义日志选择器的CloudTrail跟踪、匹配该事件的EventBridge规则并关联测试Lambda后，密钥旋转时Lambda没触发。需要排查原因、了解CloudTrail跟踪的作用，以及更优触发方案。

相关配置与事件记录如下：

密钥旋转成功的CloudTrail事件记录 #

"eventName": "RotationSucceeded",
"awsRegion": "eu-west-1",
"sourceIPAddress": "secretsmanager.amazonaws.com",
"userAgent": "secretsmanager.amazonaws.com",
"requestParameters": null,
"responseElements": null,
"additionalEventData": {
    "SecretId": "arn:aws:secretsmanager:eu-west-1:acc_id:secret:rds!xxxxxxxx"
}

CloudTrail自定义日志选择器 #

EventBridge规则事件模式 #

{
  "source": ["aws.secretsmanager"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["secretsmanager.amazonaws.com"],
    "eventName": ["RotationSucceeded"]
  }
}

1. CloudTrail日志选择器匹配错误：事件里的密钥ARN在additionalEventData.SecretId字段，而非顶级resources.ARN，你配置的日志选择器用resources.ARN做匹配，会直接过滤掉目标事件，导致CloudTrail没把事件推给EventBridge。
2. CloudTrail未开启EventBridge集成：如果创建跟踪时没勾选“向EventBridge发送事件”选项，捕获到的事件只会存到S3，不会进入EventBridge管道。
3. 区域不一致：确认CloudTrail跟踪、EventBridge规则、Lambda都在eu-west-1区域，跨区域的话EventBridge默认不会接收其他区域的CloudTrail事件。

• 事件过滤与精简：通过自定义选择器只保留目标事件（比如RotationSucceeded），减少日志存储成本和EventBridge的无效事件处理量。
• 事件路由到EventBridge：只有开启EventBridge集成的跟踪，才能把捕获的API事件转发给EventBridge，实现后续触发逻辑。
• 审计留存：将事件日志持久化到S3，满足合规审计、故障回溯的需求。

方案1：修正现有CloudTrail+EventBridge配置 #

• 调整CloudTrail日志选择器：把resources.ARN的匹配条件改成additionalEventData.SecretId开头匹配，或暂时移除资源ARN过滤，先验证事件流转正常再精细化配置。
• 确认CloudTrail跟踪已开启EventBridge集成：在控制台编辑跟踪，勾选“向EventBridge发送事件”选项。
• 测试EventBridge规则：用拿到的CloudTrail事件作为测试数据，在EventBridge控制台验证规则是否能匹配成功。

方案2：直接用Secrets Manager原生旋转Lambda（推荐） #

Secrets Manager支持在旋转流程中直接调用Lambda，无需中间环节：

• 配置密钥旋转时，指定自定义旋转Lambda或AWS预构建函数，旋转成功后的后续操作（比如通知、更新依赖服务）可以直接写在这个Lambda里。
• 这种方式减少了CloudTrail、EventBridge的故障点，延迟更低，更贴合Secrets Manager的原生设计。

方案3：使用Secrets Manager原生EventBridge事件 #

Secrets Manager会直接向EventBridge推送密钥状态变更事件，无需CloudTrail中转：

• EventBridge规则的事件模式可配置为：

{
  "source": ["aws.secretsmanager"],
  "detail-type": ["Secret Rotation Succeeded"],
  "detail": {
    "secretId": ["arn:aws:secretsmanager:eu-west-1:acc_id:secret:rds!xxxxxxxx"]
  }
}

• 配置更简单，事件推送更可靠，避免CloudTrail过滤带来的问题。

内容的提问来源于stack exchange，提问作者polo