如何在AWS Lambda Python函数中提取CloudWatch告警的InstanceId

嘿，我来帮你搞定这个问题！当CloudWatch告警触发Lambda时，告警的JSON payload里确实藏着InstanceId，下面是具体的提取方法，分步骤来：

首先，CloudWatch告警触发Lambda时，传入的事件参数是一个标准的JSON结构。以EC2实例的告警为例，典型的事件大概长这样（简化版）：

{
  "detail": {
    "alarmName": "EC2-High-CPU",
    "resources": [
      "arn:aws:ec2:us-east-1:123456789012:instance/i-0abcdef1234567890"
    ],
    "dimensions": [
      {
        "name": "InstanceId",
        "value": "i-0abcdef1234567890"
      }
    ]
  }
}

你看，InstanceId要么在detail.resources的ARN里，要么直接在detail.dimensions的键值对里，这两个地方都可以提取。

我用Python写个示例（毕竟Lambda里Python用得最多），你可以直接参考：

import json

def lambda_handler(event, context):
    # 先拿到告警的详情部分
    alarm_detail = event.get('detail', {})
    
    # 初始化存储InstanceId的列表
    instance_ids = []
    
    # 方法1：从resources里的ARN提取
    for resource in alarm_detail.get('resources', []):
        # 判断是不是EC2实例的ARN
        if 'instance/' in resource:
            # 用斜杠分割ARN，最后一段就是InstanceId
            instance_id = resource.split('/')[-1]
            instance_ids.append(instance_id)
    
    # 方法2：从dimensions里直接提取
    for dimension in alarm_detail.get('dimensions', []):
        if dimension.get('name') == 'InstanceId':
            instance_ids.append(dimension.get('value'))
    
    # 去重，防止同一个ID被多次提取
    instance_ids = list(set(instance_ids))
    
    # 这里就可以把instance_ids作为后续操作的变量了
    if instance_ids:
        print(f"成功提取到InstanceId: {instance_ids}")
        # 比如你要停止实例、发送告警通知，直接用这个变量就行
        # 示例：调用EC2 API停止实例
        # import boto3
        # ec2 = boto3.client('ec2')
        # ec2.stop_instances(InstanceIds=instance_ids)
    else:
        print("没找到任何InstanceId，可能告警不是针对EC2实例的？")
    
    return {
        'statusCode': 200,
        'body': json.dumps(f"提取结果: {instance_ids}")
    }

• 不同类型的告警（比如RDS、EBS的告警）payload结构可能不一样，你要根据自己的告警配置调整提取逻辑；
• 测试的时候可以用Lambda的「测试事件」功能，模拟一个CloudWatch告警的JSON来验证提取是否正确；
• 如果你的告警可能同时触发多个实例，这段代码会把所有InstanceId都收集起来，方便批量操作。

内容的提问来源于stack exchange，提问作者Tomer Leibovich