未开启Cloud Trail时如何查询AWS资源的创建者信息

核心前提：未开启CloudTrail时不存在原生全局操作审计日志，无法100%覆盖所有资源的创建者定位，以下是可落地的排查路径

全类型资源通用排查方法 #

• 优先排查资源标签：多数企业有创建者/所有者标签的管理规范，可通过aws resourcegroupstaggingapi get-resources命令批量拉取所有资源的标签，匹配CreatedBy、Owner、Creator类标签的取值即可直接获取创建者信息，可直接对应你手里的资源ARN清单做匹配。
• 缩小IAM身份排查范围：拉取全量IAM凭证报告aws iam get-credential-report，筛选2018-2019年期间有活跃操作记录的IAM用户、角色，再和资源创建时间做匹配缩小排查范围。
• 核对历史部署记录：对齐2018-2019年负责AWS平台运维、业务开发的团队成员，核对其手里的历史部署脚本、CI/CD历史任务记录，通过资源名称、创建时间匹配对应创建者。

特定资源专属排查方法 #

RDS快照 #

• 调用aws rds describe-db-snapshots --db-snapshot-identifier <快照ID>查询详情，手动创建的快照通常会保留SnapshotCreator字段，存储了创建者的身份ARN信息。
• 自动快照可直接关联对应源RDS实例的所有者信息，通过源实例的标签、运维记录追溯快照负责人。

Lambda函数 #

• 调用aws lambda get-function --function-name <函数名>查询详情，若函数创建后未做过修改，LastModifiedBy字段的取值就是创建者的身份ARN；即使有修改，也可通过最后修改人追溯原始创建者。
• 下载Lambda函数的代码包，查看代码内的注释、提交记录信息，多数打包部署的函数会保留开发人员的提交标识、本地路径信息，可直接对应到创建人。

兜底处理方案 #

经以上路径仍无法定位所有者的资源，可标记为无主资源，先监控其业务调用、资源用量情况，确认无业务依赖后可列入待清理队列，避免持续产生不必要的成本。

内容的提问来源于stack exchange，提问作者Pierre-Alexandre