如何自动聚合Lambda Edge产生的CloudWatch跨区域日志？

下面是三种落地成本低、覆盖能力全的自动化方案，你可以根据自己的使用场景选择：

方案1：CloudTrail+EventBridge触发自动配置 #

这个方案可以完美覆盖存量日志组和未来新区域产生的新增日志组，不需要手动迭代配置：

• 核心逻辑：Lambda@Edge生成的日志组有统一命名规则，格式为/aws/lambda/<区域代码>.<Lambda@Edge函数名>，所有日志组的创建行为都会被CloudTrail记录，你可以通过事件触发自动完成订阅配置。
• 部署步骤：
  1. 在us-east-1区域（Lambda@Edge函数固定部署区域）创建一个自动化配置用的Lambda函数，给它配置跨所有区域的CloudWatch Logs操作权限、以及你的日志归集目的地（比如S3桶、中央日志组、OpenSearch集群）的写入权限。
  2. 配置EventBridge规则，匹配CloudTrail中事件源为logs.amazonaws.com、事件名称为CreateLogGroup的事件。
  3. 给EventBridge规则添加字段过滤，只触发日志组名称匹配/aws/lambda/[a-z0-9-]+.<你的Lambda@Edge函数名>规则的事件，避免无关日志组触发配置逻辑。
  4. 自动化Lambda的逻辑写为：收到触发事件后，提取事件中的日志组所属区域、日志组名称，调用对应区域的CloudWatch Logs API为该日志组添加你需要的订阅过滤器，自动完成日志转发配置。
  5. 首次部署时，写一段简单的遍历脚本，批量给所有已存在的符合命名规则的日志组添加订阅过滤器，覆盖存量数据。

方案2：AWS Organization组织级配置 #

如果你使用AWS Organization管理多账户，这个方案可以一次性覆盖所有成员账户的所有区域，不需要单账户单独配置：

• 操作步骤：
  1. 在组织管理账户中启用CloudWatch Logs跨区域归集功能，指定一个中心区域的存储端点作为统一日志目的地。
  2. 创建组织级的配置规则，要求所有成员账户、所有区域下，符合Lambda@Edge日志组命名规则的日志组必须自动附加指定的订阅过滤器，不符合规则的配置会被自动修正。
  3. 配置完成后，所有成员账户后续新启用的区域产生的Lambda@Edge日志都会被自动归集，不需要额外迭代配置。

方案3：IaC批量预置 #

如果你使用Terraform、CloudFormation这类基础设施即代码工具，可以提前预置所有区域的日志配置：

• 操作逻辑：在IaC配置中遍历所有AWS商用区域，提前创建对应命名规则的日志组并配置好订阅过滤器，后续Lambda@Edge在对应区域产生日志时会直接写入已经完成配置的日志组，不会生成未配置的新日志组。
  注意：AWS会定期新增商用区域，你需要定期更新配置中的区域列表，避免漏覆盖新上线的区域。

内容的提问来源于stack exchange，提问作者Max Kurtz