AWS EventBridge监控ECR：是否需配置CloudFormation？

核心结论 #

AWS ECR的事件无需显式配置额外CloudFormation组件或特殊机制，默认会自动发送到EventBridge。你遇到的无事件捕获问题，大概率是事件模式、规则配置或事件触发环节的问题，以下是具体排查步骤：

排查步骤 #

1. 验证EventBridge事件模式的准确性 #

确保你的事件模式能匹配目标ECR事件，常见错误包括：

• 未指定正确的source（必须为aws.ecr）
• 错误的detail-type（ECR事件的detail-type主要有ECR Image Action、ECR Image Scan Completed、ECR Repository Action等）
• 未限定特定仓库ARN（如果只关注某个仓库，需在resources字段添加仓库ARN）

正确的基础事件模式示例：

EventPattern:
  source:
    - "aws.ecr"
  detail-type:
    - "ECR Image Action"
  detail:
    action-type:
      - "PUSH"

2. 确认ECR事件已实际触发 #

• 进入ECR仓库的审计标签页，检查是否有对应的操作记录（如镜像推送、扫描完成）。如果没有记录，说明事件未触发，需先排查ECR操作本身（比如镜像推送是否成功、持续扫描是否真的执行）。
• 手动触发一个测试事件：推送一个新镜像到仓库，等待3-5分钟后再查看EventBridge监控。

3. 检查EventBridge规则的基础配置 #

• 确认规则处于启用状态（在EventBridge控制台的规则列表中查看）。
• 检查规则目标（如Lambda、SNS）的权限：目标服务的执行角色必须具备events:InvokeFunction（针对Lambda）或对应服务的调用权限，否则事件会被丢弃。

4. 确保区域一致性 #

ECR仓库和EventBridge规则必须位于同一个AWS区域。跨区域事件不会自动发送，除非你配置了跨区域事件总线。

5. 排查全局/组织级限制 #

• 检查是否有全局EventBridge规则过滤了ECR事件。
• 确认AWS组织的SCP（服务控制策略）未限制EventBridge接收ECR事件的权限。

示例CloudFormation模板 #

以下是捕获ECR镜像推送事件的完整CloudFormation规则示例：

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  ECRImagePushedRule:
    Type: AWS::Events::Rule
    Properties:
      Description: Capture ECR image push events
      EventPattern:
        source:
          - "aws.ecr"
        detail-type:
          - "ECR Image Action"
        detail:
          action-type:
            - "PUSH"
          repository-name:
            - "your-repo-name" # 替换为你的仓库名
      State: ENABLED
      Targets:
        - Arn: !Sub "arn:aws:lambda:${AWS::Region}:${AWS::AccountId}:function:YourLambdaFunction"
          Id: ECRImagePushedTarget
  LambdaInvokePermission:
    Type: AWS::Lambda::Permission
    Properties:
      FunctionName: !Sub "arn:aws:lambda:${AWS::Region}:${AWS::AccountId}:function:YourLambdaFunction"
      Action: lambda:InvokeFunction
      Principal: events.amazonaws.com
      SourceArn: !GetAtt ECRImagePushedRule.Arn

内容的提问来源于stack exchange，提问作者GangGreenTemperTatum