AWS CloudTrail中DynamoDB的responseElement始终为null问题排查

先检查CloudTrail跟踪的配置 #

• 首先确认你的CloudTrail跟踪是不是组织级跟踪，或者是开启了数据事件的区域跟踪。默认CloudTrail只记录管理事件，不会自动采集DynamoDB数据操作（比如PutItem、UpdateItem）的响应内容。必须手动开启DynamoDB的数据事件采集，还要指定要跟踪的具体表，事件类型至少选“写操作”（或者直接选“读和写”）。
• 进入CloudTrail控制台的跟踪详情页，找到“数据事件”板块，确认已经勾选了DynamoDB，添加了目标表，并且事件类型配置正确。

核对CloudTrail服务角色的IAM权限 #

• 检查CloudTrail使用的服务角色有没有dynamodb:GetItem、dynamodb:PutItem、dynamodb:UpdateItem、dynamodb:DeleteItem这些权限——没有这些权限，CloudTrail拿不到操作的响应数据，自然没法写入日志。
• 还要确保权限策略里没有显式的拒绝语句，这会直接阻止CloudTrail收集响应内容。

确认DynamoDB操作的ReturnValues参数 #

• 这是最容易忽略的点：如果调用DynamoDB API时没设置ReturnValues参数，CloudTrail的responseElement肯定是null。默认情况下，PutItem的ReturnValues是NONE，这种情况下API不会返回变更数据，CloudTrail也就没东西可记录。
  • 举个例子，用Python SDK调用PutItem时，得显式指定ReturnValues：

    import boto3
    dynamodb = boto3.resource('dynamodb')
    table = dynamodb.Table('你的表名')
    response = table.put_item(
        Item={'id': '123', 'name': '测试数据'},
        ReturnValues='ALL_NEW'
    )
    

• UpdateItem操作同理，必须设置ReturnValues为UPDATED_NEW、ALL_NEW这类值，才会返回变更后的内容，CloudTrail才能记录到responseElement里。

检查S3日志存储桶的权限 #

• 确认CloudTrail日志存储的S3桶权限正常，要是桶的ACL或者桶策略限制了CloudTrail的写入权限，可能会导致日志字段不完整，responseElement就成了null。

给日志留足同步时间 #

• CloudTrail日志生成和同步有延迟，一般15分钟到几小时不等。刚执行完操作就去查日志，大概率还没同步完，等一会儿再看就行。

内容的提问来源于stack exchange，提问作者Amos Long