如何为AssumeRole事件配置AWS Cloudwatch Events（以触发SNS通知）

Question

我正在尝试配置Cloudwatch事件规则（以触发SNS通知），以便在某人担任特定角色时：

{
  "detail": {
    "eventName": [
      "AssumeRole"
    ],
    "eventSource": [
      "sts.amazonaws.com"
    ],
    "requestParameters": {
      "roleArn": [
        "arn:aws:iam::0000:role/the_role_name"
      ]
    }
  },
  "detail-type": [
    "AWS API Call via CloudTrail"
  ]
}

其中0000是帐户ID，the_role_name是我要提醒的角色。

这无法触发任何通知，但是，当我在Cloudtrail Insights中搜索事件时：

filter eventName = 'AssumeRole'
| filter requestParameters.roleArn =~ 'the_role_name'
| sort @timestamp desc
| display @timestamp, requestParameters.roleSessionName, eventName, requestParameters.roleArn, userAgent, sourceIPAddress

我确实得到了应该触发规则的结果：

requestParameters.roleSessionName eventName   requestParameters.roleArn
my_username                       AssumeRole  arn:aws:iam::0000:role/the_role_name
...

为了尝试简化事情并捕获更广泛的事件集，我还尝试了以下规则（将所有AssumeRole事件捕获到任何角色）：

{
  "detail": {
    "eventName": [
      "AssumeRole"
    ]
  },
  "detail-type": [
    "AWS API Call via CloudTrail"
  ]
}

此规则也无法触发。

有没有人对如何配置Cloudwatch事件规则以触发AssumeRole事件有什么想法？

我通读了这个相关的问题（正试图实现类似的目标），但没有解决方案：AWS CloudWatch事件触发STS上的SNS角色假设为交叉帐户

Answer 1

据我昨天与之交谈的一位AWS支持代理表示，链接文档也指出，不幸的是，Eventbridge规则（以前的Cloudwatch事件规则）不支持STS事件。

令人困惑的是，sts测试事件模式api实际上会根据有效模式验证您的事件，并且不会给出它是不受支持的服务的任何指示，这可能会导致您走上错误的道路，就像我一样。

希望AWS在将来添加STS事件支持。

https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-service-event.html

Answer 2

首先，通过检查规则的监控指标来确保是否调用了事件。它可能已触发，但无法调用目标。在这种情况下，您应该检查IAM策略。

如果未触发，则向Cloudwatch日志的跟踪交付可能会出现问题。确保您在同一区域中创建了跟踪，该跟踪将事件传递到Cloudwatch日志。

我在us-east-1地区有以下规则，效果很好：

{
  "detail-type": [
    "AWS API Call via CloudTrail"
  ],
  "detail": {
    "eventSource": [
      "sts.amazonaws.com"
    ],
    "eventName": [
      "AssumeRole"
    ]
  },
  "source": [
    "aws.sts"
  ]
}