如何默认开启AWS VPC Flow Logs，实现新建VPC自动启用流日志？

完全可以实现，核心通过事件驱动架构完成自动化触发，无需人工介入，具体方案如下：

前置准备 #

• 提前创建VPC Flow Logs所需的IAM角色，角色需要包含两类权限：
  1. 流日志服务写入目标存储（CloudWatch Logs/S3）的权限
  2. 信任Lambda服务调用该角色的信任策略
• 必须开启对应AWS区域的CloudTrail，否则EventBridge无法捕获VPC创建的API事件

核心实现步骤 #

• 步骤1：配置EventBridge事件规则 #

  创建自定义EventBridge规则，匹配CreateVpc API调用事件：
  • 事件源选择AWS服务 -> EC2
  • 事件类型选择AWS API Call via CloudTrail
  • 事件匹配规则指定事件名称为CreateVpc
  • 规则触发目标绑定后续要创建的Lambda函数

• 步骤2：编写Lambda处理函数 #

  Lambda函数负责自动完成流日志创建逻辑，核心逻辑示例（Python）：

  import boto3
  
  ec2 = boto3.client('ec2')
  # 提前配置好的参数，可存在Lambda环境变量里
  FLOW_LOG_ROLE_ARN = 'arn:aws:iam::你的账户ID:role/你的流日志角色名'
  CLOUDWATCH_LOG_GROUP_ARN = 'arn:aws:logs:你的区域:你的账户ID:log-group:你的流日志日志组名:*'
  
  def lambda_handler(event, context):
      # 从事件中提取新创建的VPC ID
      vpc_id = event['detail']['responseElements']['vpc']['vpcId']
      try:
          ec2.create_flow_logs(
              ResourceIds=[vpc_id],
              ResourceType='VPC',
              TrafficType='ALL', # 可选ACCEPT/REJECT，按需求调整
              LogDestinationType='cloud-watch-logs',
              LogDestination=CLOUDWATCH_LOG_GROUP_ARN,
              DeliverLogsPermissionArn=FLOW_LOG_ROLE_ARN
          )
          print(f"已为VPC {vpc_id}成功创建流日志")
      except ec2.exceptions.FlowLogAlreadyExists:
          print(f"VPC {vpc_id}已存在流日志，跳过创建")
      except Exception as e:
          print(f"创建流日志失败，错误信息：{str(e)}")
          raise e
  

  注意要为Lambda函数配置ec2:CreateFlowLogs的执行权限。

可选优化方案 #

• 多区域覆盖：在所有需要生效的AWS区域都部署这套EventBridge规则+Lambda即可
• 多账户覆盖：如果使用AWS Organizations管理多账户，可以配置跨账户EventBridge事件总线，将所有成员账户的CreateVpc事件转发到统一的安全运维账户执行创建逻辑，避免重复部署
• 异常告警：可配置Lambda执行失败告警，触发SNS通知运维人员手动处理异常场景

内容的提问来源于stack exchange，提问作者Sneha