如何解决EventBridge规则无法触发Lambda响应Secrets Manager增改事件？

核心原因 #

虽然你能在CloudTrail事件历史中看到Secrets Manager的操作日志，但默认的事件历史仅用于查询，不会自动将事件推送到EventBridge。必须创建一个CloudTrail追踪（Trail）并配置其将事件发送到EventBridge，才能让EventBridge规则捕获到这些API调用事件。

具体解决步骤 #

1. 创建并配置CloudTrail追踪

   • 进入CloudTrail控制台，点击“创建追踪”
   • 填写追踪名称，选择适用区域（建议选“所有区域”以覆盖跨区域操作）
   • 在“数据事件”模块，点击“添加数据事件”：
     • 资源类型选择AWS::SecretsManager::Secret
     • 选择要监控的密钥（可以选“所有资源”或指定ARN）
     • 事件类型勾选“写”（对应创建、更新类操作）
   • 滚动到“高级设置”，勾选**“将事件发送到EventBridge”**，完成追踪创建

2. 确认EventBridge事件模式（你的现有模式是有效的）
   你当前使用的事件模式无需修改，它能正确匹配目标操作：

   {
     "source": ["aws.secretsmanager"],
     "detail-type": ["AWS API Call via CloudTrail"],
     "detail": {
       "eventSource": ["secretsmanager.amazonaws.com"],
       "eventName": ["CreateSecret", "PutSecretValue", "UpdateSecret"]
     }
   }
   

   额外注意：确保EventBridge规则与Lambda函数处于同一区域，若需跨区域触发，需在对应区域创建规则或启用跨区域事件传递。

3. 验证权限与触发状态

   • 检查Lambda函数的权限：确认EventBridge服务（events.amazonaws.com）拥有lambda:InvokeFunction的调用权限（创建EventBridge规则时会自动生成该权限，若手动修改过策略需重新确认）
   • 测试触发：创建或更新一个Secrets Manager密钥，然后查看EventBridge规则的“已匹配事件”统计，或Lambda控制台的“监控”页面查看调用记录

内容的提问来源于stack exchange，提问作者SUNNY R K