AWS CloudWatch Input Transformer嵌套数组字段提取空值排查

问题场景 #

• 基于AWS CloudWatch/CloudTrail采集的EC2安全组入方向授权事件日志，通过Input Transformer转换为结构化事件提示文本，目标输出需覆盖事件操作描述、端口范围、源IP段、规则描述四类核心信息
• 基础字段（非嵌套的eventName、groupId、userName、sourceIPAddress）配置输入映射时可正常取值，输出符合预期
• 提取ipPermissions.items整段嵌套对象时，可完整输出全量嵌套结构，无取值异常
• 细化JSON路径，提取多层嵌套数组内的toPort、cidrIp、description字段时，所有对应占位符输出为空白
• 待验证核心疑问：是否存在数组层级的JSON路径语法不符合CloudWatch Input Transformer解析规则，导致取值失败

取值为空的核心原因 #

CloudWatch Input Transformer 的JSON路径解析规则与通用JSONPath存在差异，是导致取值异常的根本原因：

• 解析器不支持通用JSONPath的[*]通配符数组遍历语法，仅支持带固定数组下标的静态路径匹配
• 常规排障中大家常用的写法，比如$.ipPermissions.items[*].toPort、$.ipPermissions.items[*].ipv4Ranges[*].cidrIp，因为包含[*]通配符，会被解析器判定为无效路径，直接返回空值
• 这也解释了整段提取ipPermissions.items时可正常返回的现象：整段路径无数组下标、无通配符，属于直接匹配对象层级，符合解析规则

正确配置参考 #

1. 先对齐CloudTrail记录的EC2安全组授权事件的实际结构层级：

   responseElements.ipPermissions.items[*] → 单条入方向授权规则集合
   ├─ fromPort / toPort → 规则绑定的端口范围
   └─ ipv4Ranges.items[*] → 规则绑定的IPv4源地址集合
       ├─ cidrIp → 具体源IP段
       └─ description → 规则备注描述
   

2. 配置输入映射时，对数组元素使用固定下标，禁止使用通配符：
   • 授权端口上限：$.responseElements.ipPermissions.items[0].toPort
   • 授权源IP段：$.responseElements.ipPermissions.items[0].ipv4Ranges.items[0].cidrIp
   • 规则描述：$.responseElements.ipPermissions.items[0].ipv4Ranges.items[0].description
3. 能力边界说明：如果单条事件包含多段授权规则、多个源IP段，上述固定下标的写法仅能提取第一个数组元素的值；如需批量遍历数组全量内容，需在Input Transformer下游搭配Lambda做二次加工，Input Transformer本身不支持数组批量遍历能力

内容的提问来源于stack exchange，提问作者user14960507