amazon-web-services - 我可以将 CloudWatch 日志组从另一个账户流式传输到 lambda 吗？

Question

我可以将 CloudWatch 日志组从另一个账户流式传输到 lambda 吗？我尝试从 AWS 控制台配置它，但它只显示当前账户的 lambda。

提示 我对 Amazon Kinesis 解决方案不感兴趣。我知道如何通过订阅来做到这一点，如下所述:http://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CrossAccountSubscriptions.html

我正在从另一个帐户准确询问 lambda。

附言我尝试将日志组上的订阅添加到另一个帐户的 lambda，如描述的那样 here ，但我收到以下错误:

An error occurred (AccessDeniedException) when calling the PutSubscriptionFilter
operation: Cross-account lambda invocation passing is not allowed. You must use DestinationPolicies to create cross account lambda triggers.

Answer 1

目前，没有。这包括使用 CloudWatch Logs Destination

此处详细记录了 PutSubscriptionFilter 的限制:https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutSubscriptionFilter.html

CloudWatch Logs 仅支持将日志数据流式传输到同一账户中的 Lambda 函数，尽管不明确的错误消息似乎表明它可能是可能的。

我怀疑错误信息:

You must use DestinationPolicies to create cross account lambda triggers.

对于尝试跨账户 lambda 调用的任何服务来说都是通用的，并且在 SNS 等服务的情况下很有意义，您可以在其中向主题添加权限以允许它。

或者，您可能想使用 CloudWatch 日志目标发送到 Lambda 函数，但是，目标仅支持 Kinesis。

最近的 AWS 记录在此处:https://docs.aws.amazon.com/AmazonCloudWatchLogs/latest/APIReference/API_PutDestination.html

关于目标 ARN 的说明如下:

The ARN of an Amazon Kinesis stream to which to deliver matching log events.

尽管如此，如果仍有可能，我尝试遵循这些 instructions ，用 Lambda 函数替换 Kinesis 流，但在最后一步遇到了这个错误，我无法解决。

$ aws logs put-destination --destination-name "testDestination" --target-arn "arn:aws:lambda:us-east-1:<YOUR ACCOUNT ID HERE>:function:destinationtest" --role-arn "arn:aws:iam::<YOUR ACCOUNT ID HERE>:role/CWLtoLambdaRole"

An error occurred (InvalidParameterException) when calling the PutDestination operation: Could not deliver test message to specified destination. Check if the destination is valid.

综上所述，我不得不得出结论，答案仍然是否定的，无法跨账户直接将 Lambda 函数连接到 CloudWatch 日志。但是，您可以在单独的账户中使用 Kinesis 流作为目标，然后您可以非常轻松地订阅 Lambda 函数。