AWS DocumentDB中TTL删除操作的审计追踪如何实现？

根据AWS DocumentDB的官方能力边界，其原生审计功能仅覆盖集群、实例级别的操作事件（包括连接请求、DDL操作、用户权限变更等），不支持文档级的增删改操作记录，因此TTL索引触发的自动文档删除操作默认不会在原生审计日志、CloudWatch基础日志中留存记录，无法直接通过AWS原生日志服务查询这类删除的明细。

除了在应用代码中实现变更流监听器之外，还有以下更优的实现方案可供选择：

• 无服务托管式变更流监听方案：不用在业务应用中维护监听器进程，直接配置DocumentDB变更流的事件投递到AWS Lambda，由Lambda函数统一捕获delete类型的事件，过滤出TTL触发的删除操作后写入指定的日志存储（如CloudWatch Logs、S3、DynamoDB审计表）。该方案无需占用业务应用资源，自带容错重试能力，运维成本远低于自行维护应用层监听器。
• 离线统计比对方案：如果业务不需要实时获取删除明细，仅需要统计TTL删除的量级，可以定期运行扫描任务，比对集合中TTL字段（如expire_at）的过期时间与当前时间的差值，结合集合存量数据的变化计算删除量。该方案实现成本最低，但无法获取单条文档的精确删除时间，仅适合粗粒度统计场景。
• 写入时预记录审计方案：在写入带TTL字段的文档时，同步往独立的审计集合写入一条包含文档ID、TTL过期时间的审计记录，后续直接通过审计记录的过期时间对应删除事件，无需额外监听运行时操作。该方案适合写入量不大、对删除时间精度要求不高的场景，几乎无额外运行时开销。

内容的提问来源于stack exchange，提问作者Erik Finnman