多AWS账户多区域多资源自动打标签最优方案咨询

针对你300+ AWS账户、多区域、多资源的场景，推荐以下分场景的实现方案，兼顾新资源实时打标和现有资源批量补标，同时支持账户规模扩展：

一、新创建资源实时打标签 #

基于CloudTrail事件+EventBridge+Lambda实现，通过AWS Organizations批量部署到所有账户：

• 批量部署基础组件：用Organizations StackSets在每个成员账户的目标区域部署两个核心资源：
  • EventBridge规则：匹配CloudTrail中各类资源创建事件（例如EC2 RunInstances、S3 CreateBucket、RDS CreateDBInstance等），触发后续Lambda执行
  • Lambda函数：解析CloudTrail事件中的userIdentity（即创建者信息）和requestParameters中的资源ID，调用对应AWS服务的标签API完成打标
• Lambda适配多服务：在Lambda中维护服务与标签API的映射表，比如：
  • EC2资源调用ec2:CreateTags
  • S3桶调用s3:PutBucketTagging
  • RDS实例调用rds:AddTagsToResource
• 容错机制：给Lambda配置死信队列（SQS），处理打标失败的请求，避免事件丢失

二、现有资源批量补标签 #

针对已存在的资源，通过定时扫描+CloudTrail日志查询实现补标：

• 批量扫描逻辑：部署定时触发的Lambda（用CloudWatch Events设置周期，比如每日一次），遍历目标区域内所有支持标签的资源
• 创建者信息查询：利用组织级CloudTrail日志（统一存储到管理账户S3桶），通过CloudTrail lookupEvents API，根据资源ID和创建时间范围检索对应的创建事件，提取created by信息
• 补标执行：对未携带目标标签的资源，调用对应服务的标签API完成补标
• 权限配置：给Lambda赋予跨账户访问组织级CloudTrail日志桶的IAM角色权限，避免在每个账户单独查询日志

三、多账户统一管控与扩展 #

确保方案适配持续增长的账户规模：

• 组织级CloudTrail：启用Organizations组织级CloudTrail，将所有成员账户的CloudTrail日志统一存储到管理账户的S3桶，简化日志查询和管理
• 自动部署新账户：配置StackSets的自动部署规则，新加入Organizations的账户会自动部署打标所需的EventBridge规则和Lambda函数
• 状态监控：用CloudWatch Metrics收集Lambda的执行成功率、打标数量等指标，或用AWS Config自定义规则检查资源是否存在指定标签，实现全局监控

注意事项 #

• 不同AWS服务的标签API参数差异较大，需在Lambda中做好适配
• 若资源创建时间超过CloudTrail日志保留期（默认90天），无法通过CloudTrail获取创建者信息，可考虑用资源所属账户的IAM用户信息替代，或手动补标
• Lambda权限需遵循最小权限原则，仅赋予必要的标签操作和日志读取权限

内容的提问来源于stack exchange，提问作者baluchen