CloudWatch Events触发Lambda调用失败的排查求助

根据你描述的情况——通过CloudFormation部署CloudWatch Events调度器触发Lambda函数X，但调用报错且无任何日志输出，我整理了几个高概率的排查方向：

• Lambda执行角色缺少日志写入权限：你提到已经确认了调度器的调用权限，但Lambda自身的执行角色如果没有logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents这三个核心权限，会导致Lambda连错误日志都无法写入CloudWatch Logs，这正好解释了你看不到日志的问题。建议检查角色的权限策略，确保包含CloudWatch Logs的相关权限声明。

• CloudWatch Events规则配置存在疏漏：

  • 确认规则的目标ARN是否完全正确，有没有函数名拼写错误、ARN里的区域/账号ID与实际资源不匹配的情况；
  • 检查规则的State属性是否设置为ENABLED，如果是DISABLED状态，调度器根本不会触发任何调用；
  • 验证规则的调度表达式（比如cron或rate表达式）是否符合AWS的格式要求，格式错误会导致规则无法按预期触发。

• Lambda函数本身的初始化或代码问题：

  • 先尝试手动测试Lambda函数（在控制台点击「测试」按钮），如果手动测试也没有日志输出，那基本可以锁定是执行角色的日志权限问题；
  • 如果手动测试能正常执行，那可能是调度器触发时的事件格式与Lambda代码预期不匹配，导致代码在处理事件时崩溃，但因为日志权限缺失无法记录错误。

• CloudFormation中的权限资源配置不完整：

  • 检查Events调用Lambda的权限资源，确保Principal设置为events.amazonaws.com；
  • 确认权限的SourceArn是否正确指向了CloudWatch Events规则的ARN，错误的SourceArn会导致权限策略不生效，调用被拒绝。

• Lambda并发或配额限制：虽然概率较低，但可以检查Lambda函数的并发配置（控制台「配置」->「并发」），确认是否设置了并发限制为0，或者所在区域的Lambda并发配额已耗尽，这两种情况都会导致调用失败。

内容的提问来源于stack exchange，提问作者Griffin