跨账户AWS事件桥接

Question

我正在尝试设置跨账户事件桥接，从A帐户到B帐户触发位于B帐户中的CodePipeline。

在A帐户中，我已经设置了S3和AWS事件总线，以便在对象添加到S3时向B帐户发送事件。在B帐户中，我已经设置了AWS事件总线来接收来自A帐户的事件，并将CodePipeline作为目标来触发。

但是，我在使用事件总线从A帐户发送事件到B帐户方面遇到了问题，并且我想在B帐户中设置策略和权限，以接收来自A帐户的事件并触发CodePipeline。

如何实现这一点？

我正在按照以下脚本进行操作： https://docs.aws.amazon.com/AmazonCloudWatch/latest/events/CloudWatchEvents-CrossAccountEventDelivery.html

- Abhishek Hc

---

请提供您遇到的错误详细信息。 - Amit Meena

Answer 1

要配置跨帐户事件桥接通信，需要执行以下操作。我提供样本事件和过滤器，您可以根据要求替换事件和过滤器。重点解决跨账户连接问题。

在接收方账户B上执行的步骤：

1. 创建名为event-bus-b的事件总线。将资源策略设置为如下所示。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "WebStoreCrossAccountPublish",
    "Effect": "Allow",
    "Principal": {
      "AWS": "arn:aws:iam::<account-A>:root"
    },
    "Action": "events:PutEvents",
    "Resource": "arn:aws:events:<your-region>:<Account-B>:event-bus/event-bus-b"
  }]
}

在账户A上执行的步骤：发送方账户

1. 在账户A中创建一个名为 event-bus-a 的事件总线。

2. 在账户A中创建规则 eb-rule-a，具体细节如下：

事件模式：

{
  "detail-type": [
    "uoe"
  ],
  "source": [
    "somesource"
  ]
}

此外，使用测试事件测试该模式。

测试事件：

  {
  "version": "0",
  "id": "55fghj-89a9-a0b3-1ccb-79c25c7d6cd2",
  "detail-type": "uoe",
  "source": "somesource",
  "account": "<ACCOUNT_ID>",
  "time": "2020-04-24T13:53:21Z",
  "region": "<YOUR_REGION>",
  "resources": [],
  "detail": {
   "userOrg" : "OrgName" 
  }
}

3. 在下拉菜单中选择事件总线"event-bus-a"。

4. 选择目标 "不同帐户或区域中的事件总线"。

5. 输入 Account B 中您创建的事件总线的 ARN。

arn:aws:events:<your-region>:<Account-B>:event-bus/event-bus-b

此外，还要勾选“为此特定资源创建新角色”的复选框。这将在帐户A中创建一个角色，使帐户A中的用户能够发布到帐户B的事件总线。下面的策略是自动创建的，您不需要做任何事情。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "events:PutEvents"
            ],
            "Resource": [
                arn:aws:events:<your-region>:<Account-B>:event-bus/event-bus-b
            ]
        }
    ]
}

7. 点击创建并创建规则。

8. 现在点击事件总线event-bus-a，然后点击发送事件按钮。

9. 提供细节并点击发送。

示例事件:

  {
  "version": "0",
  "id": "55fghj-89a9-a0b3-1ccb-79c25c7d6cd2",
  "detail-type": "uoe",
  "source": "somesource",
  "account": "<ACCOUNT_ID>",
  "time": "2020-04-24T13:53:21Z",
  "region": "<YOUR_REGION>",
  "resources": [],
  "detail": {
   "userOrg" : "OrgName" 
  }
}

事件将传播到帐户B中定义的事件总线。您可以通过在帐户B中复制我们在帐户A中创建的规则并将lambda附加为该规则的目标，然后在日志上打印事件来验证此内容。

- Amit Meena