Terraform创建的带事件模式CloudWatch规则无法触发Lambda求助

我之前也碰到过一模一样的情况——Terraform创建的CloudWatch规则能触发但调不动Lambda，手动在控制台保存下就正常了。这种情况基本都是配置里漏了关键参数或者格式不对，咱们来一步步排查：

1. 多余的 role_arn 配置在Event Rule上 #

你的aws_cloudwatch_event_rule里加了role_arn，但这个参数是给**规则本身需要主动调用其他服务（比如ECS执行任务）**用的，不是给触发Lambda Target的角色。这个多余配置可能会干扰规则的权限逻辑，建议直接移除它。

2. Event Target 缺少核心的执行角色 #

这是最关键的问题：aws_cloudwatch_event_target必须指定role_arn，这个角色需要具备lambda:InvokeFunction权限，用来让CloudWatch Events以合法身份调用你的Lambda函数。Terraform里没配置的话，AWS就不知道用什么身份去触发Lambda；而控制台保存时会自动引导你选择/创建这个角色，所以手动操作后就正常了。

3. Tags格式错误 #

你的tags = "app"不符合Terraform的要求，tags必须是键值对的map格式，比如tags = { App = "test" }。虽然这不是触发失败的直接原因，但会导致配置不规范，建议修正。

4. 简化规则名称的引用 #

你用element(aws_cloudwatch_event_rule.event_rule_pattern.*.name, 0)来引用规则名，其实因为你只创建了一个规则，直接写aws_cloudwatch_event_rule.event_rule_pattern.name就够了，更简洁清晰。

修正后的完整代码 #

resource "aws_cloudwatch_event_rule" "event_rule_pattern" {
  name        = "test-event-rule"
  description = var.description
  event_pattern = <<PATTERN
{
  "source": [
    "aws.ecs"
  ],
  "detail-type": [
    "ECS Task State Change"
  ],
  "detail": {
    "lastStatus": [
      "STOPPED"
    ],
    "taskDefinitionArn": [
      "${data.aws_ssm_parameter.task_arn.value}"
    ]
  }
}
PATTERN
  tags = {
    Application = "app"
  }
}

resource "aws_cloudwatch_event_target" "event_target_pattern" {
  rule      = aws_cloudwatch_event_rule.event_rule_pattern.name
  arn       = data.aws_ssm_parameter.special_alert_arn.value
  role_arn  = var.execution_role  # 这个角色需要有lambda:InvokeFunction权限
}

# 额外补充：确保执行角色有正确的权限和信任关系
resource "aws_iam_role_policy" "cloudwatch_lambda_invoke" {
  name = "cloudwatch-lambda-invoke-policy"
  role = aws_iam_role.execution_role.id  # 替换成你的执行角色资源ID

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "lambda:InvokeFunction"
        Effect = "Allow"
        Resource = data.aws_ssm_parameter.special_alert_arn.value
      }
    ]
  })
}

# 执行角色的信任策略要允许CloudWatch Events AssumeRole
resource "aws_iam_role" "execution_role" {
  name = "cloudwatch-event-lambda-exec-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Principal = {
          Service = "events.amazonaws.com"
        }
        Action = "sts:AssumeRole"
      }
    ]
  })
}

最后验证步骤 #

1. 确认执行角色的信任策略包含events.amazonaws.com，否则CloudWatch Events无法承担这个角色；
2. 部署修正后的代码后，去控制台检查Event Target的配置，确认角色已经正确关联；
3. 模拟一次ECS任务STOPPED事件，验证Lambda是否能正常被触发。

这样修改后，应该就不需要再手动去控制台保存规则了，Terraform部署完成就能正常工作。

内容的提问来源于stack exchange，提问作者pulin dani