不同AWS账户中CloudFront安全组入站规则数量不一致问题咨询

这种跨账户规则数量差异完全不正常，很多开发者在基于AWS官方博客的方案做跨账户部署时都遇到过类似问题，核心原因基本集中在Lambda执行异常、API限流、逻辑漏洞或权限配置问题上，以下是具体分析和解决方向：

• EC2 API调用限流导致部分规则未更新
  AWS EC2的安全组操作API有默认速率限制，多账户同时触发Lambda更新时，部分账户的API请求会被限流（返回ThrottlingException），如果Lambda没有重试逻辑，就会导致规则只更新了一部分。
  解决：在Lambda代码中添加带指数退避的重试机制，比如使用boto3的Config配置重试参数，或者捕获限流异常后手动重试；同时通过CloudWatch日志排查是否有API调用失败的记录。

• SNS消息传递异常
  跨账户通过SNS订阅接收IP更新通知时，可能存在个别账户未收到完整消息、消息延迟或订阅状态异常（比如未确认订阅），导致Lambda没有触发完整的更新流程。
  解决：检查所有账户的SNS订阅状态，确保都是"已确认"；在Lambda中添加日志，记录接收到的IP段总数，与AWS官方IP ranges中的CloudFront条目数对比，不匹配时触发CloudWatch告警。

• Lambda过滤逻辑不一致
  CloudFront的IP段分为CLOUDFRONT和CLOUDFRONT_ORIGIN_FACING两类，如果部分账户的Lambda代码只过滤了其中一类，就会导致规则数量远少于实际IP段数；另外如果代码被修改过，过滤条件不一致也会引发差异。
  解决：统一所有账户的Lambda代码，确保同时处理service字段为CLOUDFRONT和CLOUDFRONT_ORIGIN_FACING的IP段；在代码中打印过滤后的IP数量，方便对比排查。

• 规则去重或清理逻辑漏洞
  如果Lambda没有先清理旧的CloudFront规则就添加新规则，可能会导致规则重复，但如果是规则数量过少，则可能是去重逻辑错误，误删了有效规则；或者部分账户的安全组之前已有其他规则，占用了配额（你提到部分账户只有50+条，这个可能性较低，但仍需排查）。
  解决：确保Lambda执行流程是先删除所有旧的CloudFront相关规则，再添加新规则；添加规则前检查是否已存在，避免重复操作。

• 跨账户IAM权限不足
  部分账户的Lambda执行角色权限不全，比如缺少ec2:RevokeSecurityGroupIngress权限，导致旧规则无法删除，新规则添加时因为配额问题无法全部添加；或者权限范围限制了特定安全组，导致无法修改目标安全组。
  解决：检查各账户的Lambda角色权限，确保包含ec2:AuthorizeSecurityGroupIngress、ec2:RevokeSecurityGroupIngress、ec2:DescribeSecurityGroups权限，且资源范围覆盖目标安全组。

内容的提问来源于stack exchange，提问作者Kelvin Low