# 使用 AWS CloudTrail 记录 AWS Lambda API 调用 AWS Lambda 与 [AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html) 集成，后者是提供用户、角色或 AWS 服务 所执行操作记录的服务。CloudTrail 将 Lambda 的 API 调用捕获为事件。捕获的调用包括来自 Lambda 控制台的调用和对 Lambda API 操作的代码调用。借助通过 CloudTrail 收集的信息，您可以确定向 Lambda 发出哪些请求、发出请求的 IP 地址、请求的发出时间以及其他详细信息。 每个事件或日志条目都包含有关生成请求的人员信息。身份信息有助于您确定以下内容： + 请求是使用根用户凭证还是用户凭证发出的。 + 请求是否代表 IAM Identity Center 用户发出。 + 请求是使用角色还是联合用户的临时安全凭证发出的。 + 请求是否由其他 AWS 服务 发出。 当您创建账户并可以自动访问 CloudTrail **事件历史记录**时，CloudTrail 在您的 AWS 账户 中处于活动状态。CloudTrail **事件历史记录**提供对 AWS 区域 中过去 90 天的已记录管理事件的可查看、可搜索、可下载和不可变记录。有关更多信息，请参阅《AWS CloudTrail 用户指南》的[使用 CloudTrail 事件历史记录](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)**。查看**事件历史记录**不会收取 CloudTrail 费用。 要持续记录您的 AWS 账户 过去 90 天的事件，请创建跟踪或 [CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html) 事件数据存储。 **CloudTrail 跟踪** 通过*跟踪记录*，CloudTrail 可将日志文件传送至 Amazon S3 存储桶。使用 AWS 管理控制台 创建的所有跟踪均具有多区域属性。您可以通过使用 AWS CLI 创建单区域或多区域跟踪。建议创建多区域跟踪，因为您可记录您账户中的所有 AWS 区域 的活动。如果您创建单区域跟踪，则只能查看跟踪的 AWS 区域 中记录的事件。有关跟踪的更多信息，请参阅《AWS CloudTrail 用户指南》**中的[为您的 AWS 账户 创建跟踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)和[为组织创建跟踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/creating-trail-organization.html)。 通过创建跟踪，您可以从 CloudTrail 免费向您的 Amazon S3 存储桶传送一份正在进行的管理事件的副本，但会收取 Amazon S3 存储费用。有关 CloudTrail 定价的更多信息，请参阅 [AWS CloudTrail 定价](https://aws.amazon.com/cloudtrail/pricing/)。有关 Amazon S3 定价的信息，请参阅 [Amazon S3 定价](https://aws.amazon.com/s3/pricing/)。 **CloudTrail Lake 事件数据存储** *CloudTrail Lake* 允许您对事件运行基于 SQL 的查询。CloudTrail Lake 可将基于行的 JSON 格式的现有事件转换为 [Apache ORC](https://orc.apache.org/) 格式。ORC 是一种针对快速检索数据进行优化的列式存储格式。事件将被聚合到*事件数据存储*中，它是基于您通过应用[高级事件选择器](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-concepts.html#adv-event-selectors)选择的条件的不可变的事件集合。应用于事件数据存储的选择器用于控制哪些事件持续存在并可供您查询。有关 CloudTrail Lake 的更多信息，请参阅《AWS CloudTrail 用户指南》**中的[使用 AWS CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html)。 CloudTrail Lake 事件数据存储和查询会产生费用。创建事件数据存储时，您可以选择要用于事件数据存储的[定价选项](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-manage-costs.html#cloudtrail-lake-manage-costs-pricing-option)。定价选项决定了摄取和存储事件的成本，以及事件数据存储的默认和最长保留期。有关 CloudTrail 定价的更多信息，请参阅 [AWS CloudTrail 定价](https://aws.amazon.com/cloudtrail/pricing/)。 ## CloudTrail 中的 Lambda 数据事件 [数据事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events)可提供对资源或在资源中所执行资源操作（例如，读取或写入 Amazon S3 对象）的相关信息。这些也称为数据面板操作。数据事件通常是高容量活动。默认情况下，CloudTrail 不记录大多数数据事件，CloudTrail **事件历史记录**也不会记录这些事件。 默认情况下，为支持的服务记录的一个 CloudTrail 数据事件是 `LambdaESMDisabled`。要详细了解如何使用此事件来帮助排查 Lambda 事件源映射的问题，请参阅 [使用 CloudTrail 排查已禁用的 Lambda 事件源的问题](#cloudtrail-ESM-troubleshooting)。 记录数据事件将收取额外费用。有关 CloudTrail 定价的更多信息，请参阅 [AWS CloudTrail 定价](https://aws.amazon.com/cloudtrail/pricing/)。 您可以使用 CloudTrail 控制台、AWS CLI 或 CloudTrail API 操作记录 `AWS::Lambda::Function` 资源类型的数据事件。有关如何记录数据事件的更多信息，请参阅《AWS CloudTrail 用户指南》**中的[使用 AWS 管理控制台 记录数据事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events-console)和[使用 AWS Command Line Interface 记录数据事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#creating-data-event-selectors-with-the-AWS-CLI)。 下表列出了您可以为其记录数据事件的 Lambda 资源类型。**数据事件类型（控制台）**列显示可从 CloudTrail 控制台上的**数据事件类型**列表中选择的值。**resources.type 值**列显示了您在使用 AWS CLI 或 CloudTrail API 配置高级事件选择器时需要指定的 `resources.type` 值。**记录到 CloudTrail 的数据 API** 列显示了针对该资源类型记录到 CloudTrail 的 API 调用。 | 数据事件类型（控制台） | resources.type 值 | 记录至 CloudTrail 的数据 API | | --- | --- | --- | | Lambda | AWS::Lambda::Function | [Invoke](https://docs.aws.amazon.com/lambda/latest/api/API_Invoke.html) | 您可以将高级事件选择器配置为在 `eventName`、`readOnly` 和 `resources.ARN` 字段上进行筛选，从而仅记录那些对您很重要的事件。以下示例是数据事件配置的 JSON 视图，该视图仅记录特定函数的事件。有关这些字段的更多信息，请参阅《AWS CloudTrail API 参考》**中的 [https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_AdvancedFieldSelector.html](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_AdvancedFieldSelector.html)。 ``` [ { "name": "function-invokes", "fieldSelectors": [ { "field": "eventCategory", "equals": [ "Data" ] }, { "field": "resources.type", "equals": [ "AWS::Lambda::Function" ] }, { "field": "resources.ARN", "equals": [ "arn:aws:lambda:us-east-1:111122223333:function:hello-world" ] } ] } ] ``` ## CloudTrail 中的 Lambda 管理事件 [管理事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-management-events-with-cloudtrail.html#logging-management-events)提供对您 AWS 账户 内的资源所执行管理操作的相关信息。这些也称为控制面板操作。原定设置情况下，CloudTrail 会记录管理事件。 Lambda 支持将以下操作记录为 CloudTrail 日志文件中的管理事件。 **注意** 在 CloudTrail 日志文件中，`eventName` 可能包括日期和版本信息，但它仍在引用同一公有 API 操作。例如，`GetFunction` 操作显示为 `GetFunction20150331v2`。以下列表指定事件名称与 API 操作名称不同的时间。 + [AddLayerVersionPermission](https://docs.aws.amazon.com/lambda/latest/api/API_AddLayerVersionPermission.html) + [AddPermission](https://docs.aws.amazon.com/lambda/latest/api/API_AddPermission.html)（事件名称：`AddPermission20150331v2`） + [CreateAlias](https://docs.aws.amazon.com/lambda/latest/api/API_CreateAlias.html)（事件名称：`CreateAlias20150331`） + [CreateEventSourceMapping](https://docs.aws.amazon.com/lambda/latest/api/API_CreateEventSourceMapping.html)（事件名称：`CreateEventSourceMapping20150331`） + [CreateFunction](https://docs.aws.amazon.com/lambda/latest/api/API_CreateFunction.html)（事件名称：`CreateFunction20150331`） （`CreateFunction` 的 CloudTrail 日志省略了 `Environment` 和 `ZipFile` 参数。） + [CreateFunctionUrlConfig](https://docs.aws.amazon.com/lambda/latest/api/API_CreateFunctionUrlConfig.html) + [DeleteAlias](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteAlias.html)（事件名称：`DeleteAlias20150331`） + [DeleteCodeSigningConfig](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteCodeSigningConfig.html) + [DeleteEventSourceMapping](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteEventSourceMapping.html)（事件名称：`DeleteEventSourceMapping20150331`） + [DeleteFunction](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteFunction.html)（事件名称：`DeleteFunction20150331`） + [DeleteFunctionConcurrency](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteFunctionConcurrency.html)（事件名称：`DeleteFunctionConcurrency20171031`） + [DeleteFunctionUrlConfig](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteFunctionUrlConfig.html) + [DeleteProvisionedConcurrencyConfig](https://docs.aws.amazon.com/lambda/latest/api/API_DeleteProvisionedConcurrencyConfig.html) + [GetAlias](https://docs.aws.amazon.com/lambda/latest/api/API_GetAlias.html)（事件名称：`GetAlias20150331`） + [GetEventSourceMapping](https://docs.aws.amazon.com/lambda/latest/api/API_GetEventSourceMapping.html) + [GetFunction](https://docs.aws.amazon.com/lambda/latest/api/API_GetFunction.html) + [GetFunctionUrlConfig](https://docs.aws.amazon.com/lambda/latest/api/API_GetFunctionUrlConfig.html) + [GetFunctionConfiguration](https://docs.aws.amazon.com/lambda/latest/api/API_GetFunctionConfiguration.html) + [GetLayerVersionPolicy](https://docs.aws.amazon.com/lambda/latest/api/API_GetLayerVersionPolicy.html) + [GetPolicy](https://docs.aws.amazon.com/lambda/latest/api/API_GetPolicy.html) + [ListEventSourceMappings](https://docs.aws.amazon.com/lambda/latest/api/API_ListEventSourceMappings.html) + [ListFunctions](https://docs.aws.amazon.com/lambda/latest/api/API_ListFunctions.html) + [ListFunctionUrlConfigs](https://docs.aws.amazon.com/lambda/latest/api/API_ListFunctionUrlConfigs.html) + [PublishLayerVersion](https://docs.aws.amazon.com/lambda/latest/api/API_PublishLayerVersion.html)（事件名称：`PublishLayerVersion20181031`） （`PublishLayerVersion` 的 CloudTrail 日志省略了 `ZipFile` 参数。） + [PublishVersion](https://docs.aws.amazon.com/lambda/latest/api/API_PublishVersion.html)（事件名称：`PublishVersion20150331`） + [PutFunctionConcurrency](https://docs.aws.amazon.com/lambda/latest/api/API_PutFunctionConcurrency.html)（事件名称：`PutFunctionConcurrency20171031`） + [PutFunctionCodeSigningConfig](https://docs.aws.amazon.com/lambda/latest/api/API_PutFunctionCodeSigningConfig.html) + [PutFunctionEventInvokeConfig](https://docs.aws.amazon.com/lambda/latest/api/API_PutFunctionEventInvokeConfig.html) + [PutProvisionedConcurrencyConfig](https://docs.aws.amazon.com/lambda/latest/api/API_PutProvisionedConcurrencyConfig.html) + [PutRuntimeManagementConfig](https://docs.aws.amazon.com/lambda/latest/api/API_PutRuntimeManagementConfig.html) + [RemovePermission](https://docs.aws.amazon.com/lambda/latest/api/API_RemovePermission.html)（事件名称：`RemovePermission20150331v2`） + [TagResource](https://docs.aws.amazon.com/lambda/latest/api/API_TagResource.html)（事件名称：`TagResource20170331v2`） + [UntagResource](https://docs.aws.amazon.com/lambda/latest/api/API_UntagResource.html)（事件名称：`UntagResource20170331v2`） + [UpdateAlias](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateAlias.html)（事件名称：`UpdateAlias20150331`） + [UpdateCodeSigningConfig](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateCodeSigningConfig.html) + [UpdateEventSourceMapping](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateEventSourceMapping.html)（事件名称：`UpdateEventSourceMapping20150331`） + [UpdateFunctionCode](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateFunctionCode.html)（事件名称：`UpdateFunctionCode20150331v2`） （`UpdateFunctionCode` 的 CloudTrail 日志省略了 `ZipFile` 参数。） + [UpdateFunctionConfiguration](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateFunctionConfiguration.html)（事件名称：`UpdateFunctionConfiguration20150331v2`） （`UpdateFunctionConfiguration` 的 CloudTrail 日志省略了 `Environment` 参数。） + [UpdateFunctionEventInvokeConfig](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateFunctionEventInvokeConfig.html) + [UpdateFunctionUrlConfig](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateFunctionUrlConfig.html) ## 使用 CloudTrail 排查已禁用的 Lambda 事件源的问题 当您使用 [UpdateEventSourceMapping](https://docs.aws.amazon.com/lambda/latest/api/API_UpdateEventSourceMapping.html) API 操作更改事件源映射的状态时，API 调用将作为管理事件记录在 CloudTrail 中。事件源映射还可能由于错误而直接过渡到 `Disabled` 状态。 对于以下服务，当您的事件源转换为“已禁用”状态时，Lambda 会将 `LambdaESMDisabled` 数据事件发布到 CloudTrail： + Amazon Simple Queue Service (Amazon SQS) + Amazon DynamoDB + Amazon Kinesis Lambda 不支持任何其他事件源映射类型的此事件。 要在支持服务的事件源映射转换到 `Disabled` 状态时收到警报，请使用 `LambdaESMDisabled` CloudTrail 事件在 Amazon CloudWatch 中设置告警。要了解有关设置 CloudWatch 告警的更多信息，请参阅[为 CloudTrail 事件创建 CloudWatch 告警：示例](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudwatch-alarms-for-cloudtrail.html)。 `LambdaESMDisabled` 事件消息中的 `serviceEventDetails` 实体包含以下错误代码之一。 **`RESOURCE_NOT_FOUND`** 请求中指定的资源不存在。 **`FUNCTION_NOT_FOUND`** 附加到事件源的函数不存在。 **`REGION_NAME_NOT_VALID`** 提供给事件源或函数的区域名称无效。 **`AUTHORIZATION_ERROR`** 尚未设置权限或权限配置错误。 **`FUNCTION_IN_FAILED_STATE`** 函数代码无法编译或遇到了无法恢复的异常，或者发生了部署错误。 ## Lambda 事件示例 一个事件表示一个来自任何源的请求，包括有关所请求的 API 操作、操作的日期和时间、请求参数等方面的信息。CloudTrail 日志文件不是公用 API 调用的有序堆栈跟踪，因此事件不会按任何特定顺序显示。 以下示例显示了 `GetFunction` 和 `DeleteFunction` 操作的 CloudTrail 日志条目。 **注意** `eventName` 可能包括日期和版本信息（如 `"GetFunction20150331"`），但它仍在引用同一公有 API。 ``` { "Records": [ { "eventVersion": "1.03", "userIdentity": { "type": "IAMUser", "principalId": "A1B2C3D4E5F6G7EXAMPLE", "arn": "arn:aws:iam::111122223333:user/myUserName", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "userName": "myUserName" }, "eventTime": "2015-03-18T19:03:36Z", "eventSource": "lambda.amazonaws.com", "eventName": "GetFunction", "awsRegion": "us-east-1", "sourceIPAddress": "127.0.0.1", "userAgent": "Python-httplib2/0.8 (gzip)", "errorCode": "AccessDenied", "errorMessage": "User: arn:aws:iam::111122223333:user/myUserName is not authorized to perform: lambda:GetFunction on resource: arn:aws:lambda:us-west-2:111122223333:function:other-acct-function", "requestParameters": null, "responseElements": null, "requestID": "7aebcd0f-cda1-11e4-aaa2-e356da31e4ff", "eventID": "e92a3e85-8ecd-4d23-8074-843aabfe89bf", "eventType": "AwsApiCall", "recipientAccountId": "111122223333" }, { "eventVersion": "1.03", "userIdentity": { "type": "IAMUser", "principalId": "A1B2C3D4E5F6G7EXAMPLE", "arn": "arn:aws:iam::111122223333:user/myUserName", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "userName": "myUserName" }, "eventTime": "2015-03-18T19:04:42Z", "eventSource": "lambda.amazonaws.com", "eventName": "DeleteFunction20150331", "awsRegion": "us-east-1", "sourceIPAddress": "127.0.0.1", "userAgent": "Python-httplib2/0.8 (gzip)", "requestParameters": { "functionName": "basic-node-task" }, "responseElements": null, "requestID": "a2198ecc-cda1-11e4-aaa2-e356da31e4ff", "eventID": "20b84ce5-730f-482e-b2b2-e8fcc87ceb22", "eventType": "AwsApiCall", "recipientAccountId": "111122223333" } ] } ``` 有关 CloudTrail 记录内容的信息，请参阅《AWS CloudTrail 用户指南》**中的 [CloudTrail 记录内容](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-record-contents.html)。