AWS EventBridge控制台签名过期无法查看规则问题咨询

问题现象 #

• 跨多个AWS区域部署了专用于触发对应区域Lambda函数的EventBridge Cron定时规则
• 登录EventBridge控制台后无法查看任何已创建的规则：
  • 任意区域打开Event buses标签页，均弹出错误：Signature expired: 20220611........ is now earlier than 20220611........ (20220611........ - 5 min.)
  • 打开Rules标签页时规则列表完全为空，提示错误：Failed to get event buses with error: InvalidSignatureException: Signature expired: 20220611........ is now earlier than 20220611........ (20220611........ - 5 min.)
• 不了解AWS签名的工作逻辑，检索到的相关技术内容晦涩无法落地，急需修复报错，确保关联Lambda按计划触发、无运行中断。

这个报错和你部署的EventBridge规则、后端Lambda的运行状态半毛钱关系都没有，别慌，你创建的规则没丢，Lambda大概率也在正常运行。
AWS所有API请求（包括控制台加载资源时自动发送的后台请求）都会用请求发起端的当前时间生成签名，服务端收到请求后会校验签名时间和服务端当前时间的差值，差值超过5分钟就会直接拒绝请求，返回你看到的InvalidSignatureException签名过期错误。
99%的场景下，这个问题是你当前用来访问控制台的本地设备时间不准导致的，和AWS侧服务状态、你账号下的资源配置没有任何关联。

第一步：10秒确认定时任务不会中断 #

不用急着调整配置，先打开Lambda控制台，切换到对应部署区域，找到绑定EventBridge的目标函数，打开Configuration > Triggers标签页，只要能看到对应的EventBridge规则触发器存在、状态为Enabled，就说明规则本身在AWS侧正常运行，不会出现定时触发中断的问题，先解决后顾之忧。

第二步：修复本地设备时间同步问题 #

这是能解决绝大多数同类报错的核心操作：

• Windows设备：右键点击右下角系统托盘的时间显示 > 调整日期/时间 > 打开「自动设置时间」「自动设置时区」开关 > 点击「立即同步」，等待同步完成即可
• Mac设备：打开系统设置 > 通用 > 日期与时间 > 打开「自动设置日期与时间」开关，选择就近的公共NTP时间服务器完成同步
• Linux设备：执行以下命令开启系统时间自动同步，以systemd-timesyncd服务为例：

  sudo timedatectl set-ntp true
  sudo timedatectl timesync-status
  

  确认输出的时间偏移量在秒级以内即可。

少见场景排查 #

如果确认本地时间完全准确还是报错，按以下顺序排查：

• 如果你当前挂了代理/VPN，尝试关闭代理或者切换代理节点，部分代理节点会篡改请求时间戳，导致签名校验失败
• 退出当前AWS控制台登录，清除浏览器对应站点的cookie和缓存后重新登录，不要直接使用浏览器收藏夹里存了很久的过期控制台会话链接
• 如果你是使用IAM访问密钥通过API/CLI调用时遇到这个报错，除了本地时间问题，还要检查你使用的临时凭证（比如STS角色扮演凭证、SSO登录获取的临时凭证）是否真的过期，重新获取有效凭证即可。

时间同步完成后，强制刷新EventBridge控制台页面（Windows按Ctrl+F5，Mac按Cmd+Shift+R），切换到对应部署区域，就能正常看到所有事件总线和规则列表，不会再弹出签名错误。你之前部署的所有定时规则只要没有被手动禁用，都会正常触发绑定的Lambda函数，不会出现运行中断。

注：报错信息里的时间戳是请求签名的标准字段，你隐藏后半段的操作不会影响问题排查，也不存在隐私泄露风险。

内容的提问来源于stack exchange，提问作者Muhammad Usman