如何通过CDK将Lambda自动创建的LogGroup的KMS密钥改为CMS？

使用CDK创建Lambda函数的Scala示例：

val lambdaFunction = lambda.Function.Builder.create...build()

创建Lambda时，CloudWatch会自动生成对应的LogGroup，但目前无法通过常规API直接修改该LogGroup的KMS密钥：

• lambdaFunction.getLogGroup()返回的ILogGroup接口没有提供设置密钥的方法
• lambda.Function.Builder仅支持logRetention配置，没有对应设置KMS密钥的选项

此前找到的批量修改所有LogGroup密钥的方案，并不适用于Lambda关联的这个自动生成的LogGroup。

解决方案1：手动创建LogGroup并关联至Lambda #

绕过自动创建的LogGroup，手动创建带指定KMS密钥的LogGroup，再让Lambda指向该LogGroup。

Scala示例代码：

// 创建或引用目标KMS密钥
val kmsKey = Key.Builder.create(this, "LambdaLogEncryptionKey")
  .enableKeyRotation(true)
  .build()

// 创建指定KMS密钥的LogGroup，名称需符合Lambda日志组格式
val logGroup = LogGroup.Builder.create(this, "LambdaAssociatedLogGroup")
  .logGroupName(s"/aws/lambda/${lambdaFunction.getFunctionName}")
  .encryptionKey(kmsKey)
  .retention(RetentionDays.ONE_MONTH) // 可选配置日志保留时长
  .build()

// 配置Lambda使用手动创建的LogGroup
lambdaFunction.addEnvironment("AWS_LAMBDA_LOG_GROUP_NAME", logGroup.getLogGroupName)

// 确保Lambda角色拥有LogGroup的写入权限（CDK通常自动处理，遇权限问题可手动添加）
logGroup.grantWrite(lambdaFunction.getRole)

解决方案2：通过CDK底层API修改自动生成的LogGroup #

直接修改Lambda自动创建的LogGroup对应的底层CloudFormation资源，设置其KMS密钥属性。

Scala示例代码：

// 先创建Lambda函数
val lambdaFunction = lambda.Function.Builder.create(this, "TargetLambda")
  .runtime(Runtime.SCALA_2_13)
  .handler("com.example.MyLambdaHandler")
  .code(Code.fromAsset("path/to/lambda/code.jar"))
  .build()

// 获取自动生成的LogGroup对应的CfnResource
val autoLogGroup = lambdaFunction.getLogGroup().getNode().getDefaultChild().asInstanceOf[CfnLogGroup]

// 为该LogGroup设置KMS密钥（传入密钥ARN或ID）
autoLogGroup.setKmsKeyId(kmsKey.getKeyArn())

注意：该方式依赖CDK的内部资源结构，不同版本可能存在兼容性差异，使用前需验证对应CDK版本的资源映射逻辑。

内容的提问来源于stack exchange，提问作者Ramón J Romero y Vigil