使用Find-CTEvent多查询属性获取AWS CloudTrail事件遇问题求助

问题根源 #

你当前的命令错误在于：Find-CTEvent的-LookupAttribute参数中，同一个AttributeKey不能重复指定多个值。CloudTrail的Lookup API本身限制每个属性（如EventName）只能传递一个值，多个LookupAttribute条目之间是**逻辑与（AND）**关系，而非逻辑或（OR）。你传入两个EventName的条目时，API只会处理第一个，第二个会被忽略，因此只能拿到CreateSnapshot的事件。

正确写法 #

要同时检索CreateImage和CreateSnapshot事件，有两种可行方式：

方式1：直接使用-EventName参数（推荐） #

Find-CTEvent提供了专门的-EventName参数，支持传入事件名称数组，逻辑为或（OR）：

Find-CTEvent -EventName "CreateSnapshot", "CreateImage"

方式2：分别查询后合并结果 #

如果必须使用-LookupAttribute，可以分别查询两个事件，再合并结果：

$snapshotEvents = Find-CTEvent -LookupAttribute @{ AttributeKey="EventName"; AttributeValue="CreateSnapshot" }
$imageEvents = Find-CTEvent -LookupAttribute @{ AttributeKey="EventName"; AttributeValue="CreateImage" }
$combinedEvents = $snapshotEvents + $imageEvents

内容的提问来源于stack exchange，提问作者Sergey