Crear una EventBridge conexión entre cuentas de Amazon en una organización

Sam Wilson y Robert Stone, Amazon Web Services

Resumen

Los grandes sistemas distribuidos utilizan Amazon EventBridge para comunicar los cambios de estado entre varias cuentas de Amazon Web Services (AWS) de una AWS Organizations organización. Sin embargo, por EventBridge lo general solo puede dirigirse a los puntos finales o a los consumidores de la misma Cuenta de AWS. La excepción es un bus de eventos en una cuenta diferente. Ese bus de eventos es un destino válido. Para consumir eventos de un bus de eventos de otra cuenta, los eventos deben transferirse del bus de eventos de la cuenta de origen al bus de eventos de la cuenta de destino. Para evitar problemas a la hora de gestionar eventos críticos en distintas aplicaciones Cuentas de AWS, utilice el enfoque recomendado que se presenta en este patrón.

Este patrón ilustra cómo implementar una arquitectura basada en eventos EventBridge que involucre a varios miembros de una Cuentas de AWS AWS Organizations organización. El patrón usa AWS Cloud Development Kit (AWS CDK) Toolkit y. AWS CloudFormation

EventBridge ofrece un bus de eventos sin servidor que le ayuda a recibir, filtrar, transformar, enrutar y entregar eventos. Un componente fundamental de las arquitecturas basadas en eventos, EventBridge permite separar entre los productores de mensajes y los consumidores de esos mensajes. En una sola cuenta, esto es sencillo. Una estructura entre cuentas requiere consideraciones adicionales para que los eventos del bus de eventos de una cuenta se consuman en otras cuentas de la misma organización.

Para obtener información sobre las consideraciones específicas de las cuentas para productores y consumidores, consulte la sección de información adicional.

Requisitos previos y limitaciones

Requisitos previos 

Versiones de producto

Este patrón se ha creado y probado usando las siguientes herramientas y versiones:

Este patrón debería funcionar con cualquier versión de AWS CDK v2 o npm. Las versiones 13.0.0 a 13.6.0 de Node.js no son compatibles con AWS CDK.

Arquitectura

Arquitectura de destino

El siguiente diagrama muestra el flujo de trabajo de arquitectura para enviar un evento desde una cuenta y consumirlo en otra cuenta.

El flujo de trabajo consta de los pasos siguientes:

Una práctica recomendada es utilizar una cola de mensajes fallidos (DLQ) para gestionar las invocaciones fallidas de la función de Lambda de consumidor. Sin embargo, el DLQ se omitió en esta solución para mayor claridad. Para obtener más información sobre cómo implementar una DLQ en sus flujos de trabajo y mejorar la capacidad de los flujos de trabajo para recuperarse de los errores, consulte la entrada del blog Implementación AWS Lambda de patrones de manejo de errores.

Automatización y escala

AWS CDK aprovisiona automáticamente la arquitectura requerida. EventBridge puede ampliarse a miles de registros por segundo, según el Región de AWS. Para obtener más información, consulta la documentación de EventBridge cuotas de Amazon.

Tools (Herramientas)

Servicios de AWS

Otras herramientas

Repositorio de código

El código de este patrón está disponible en el repositorio GitHub cross-account-eventbridge-in-organization.

Prácticas recomendadas

Para conocer las mejores prácticas a la hora de trabajar con EventBridge él, consulta los siguientes recursos:

Epics

cdk bootstrap --profile sourceAccount
cdk bootstrap --profile destinationAccount

git clone git@github.com:aws-samples/aws-cdk-examples.git

cd aws-cdk-examples/python/cross-account-eventbridge-in-organization

cdk deploy ProducerStack --profile sourceAccount

cdk deploy ConsumerStack --profile destinationAccount

cdk destroy ConsumerStack --profile destinationAccount

cdk destroy ProducerStack --profile sourceAccount

Resolución de problemas

Recursos relacionados

Referencias

Tutoriales y videos

Información adicional

Regla del productor

En la cuenta Source, se crea un bus de EventBridge eventos para aceptar los mensajes de los productores (como se muestra en la sección Arquitectura). En este bus de eventos se crea una regla con los correspondientes permisos de IAM. Las reglas se dirigen al bus de EventBridge eventos de la cuenta de destino y se basan en la siguiente cdk.json estructura:

"rules": [
  {
    "id": "CrossAccount",
    "sources": ["Producer"],
    "detail_types": ["TestType"],
    "targets": [
      {
        "id": "ConsumerEventBus",
        "arn": "arn:aws:events:us-east-2:012345678901:event-bus/CrossAccount"
      }
    ]
  }
]

Para cada bus de eventos que consume, se deben incluir el patrón de eventos y el bus de eventos de destino.

Patrón de eventos

Los patrones de eventos filtran a qué eventos se aplicará esta regla. Para los fines de este ejemplo, los orígenes de eventos y el registro detail_types identifican qué eventos se van a transmitir desde el bus de eventos de la cuenta de origen al bus de eventos de la cuenta de destino.

Bus de eventos de destino

Esta regla se dirige a un bus de eventos que existe en otra cuenta. El arn (nombre del recurso de Amazon) completo es necesario para identificar de forma única el bus de eventos de destino y id es el ID lógico utilizado por AWS CloudFormation. No es necesario que el bus de eventos de destino exista realmente en el momento de la creación de la regla de destino.

Consideraciones específicas de la cuenta de destino

En la cuenta de destino, se crea un bus de EventBridge eventos para recibir mensajes del bus de eventos de la cuenta de origen. Para permitir que los eventos se publiquen desde la cuenta de origen, debe crear una política basada en recursos:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "AllowOrgToPutEvents",
    "Effect": "Allow",
    "Principal": "*",
    "Action": "events:PutEvents",
    "Resource": "arn:aws:events:us-east-2:012345678901:event-bus/CrossAccount",
    "Condition": {
      "StringEquals": {
        "aws:PrincipalOrgID": "o-XXXXXXXXX"
      }
    }
  }]
}

Es especialmente importante conceder el permiso events:PutEvents, que permite a cualquier otra cuenta de la misma organización publicar eventos en este bus de eventos. Si aws:PrincipalOrgId se establece como ID de la organización, se conceden los permisos necesarios.

Patrón del evento

Puede modificar el patrón de eventos incluido para adaptarlo a su caso de uso:

rule = events.Rule(
    self,
    self.id + 'Rule' + rule_definition['id'],
    event_bus=event_bus,
    event_pattern=events.EventPattern(
        source=rule_definition['sources'],
        detail_type=rule_definition['detail_types'],
    )
)

Para reducir el procesamiento innecesario, el patrón de eventos debe especificar que solo los eventos que procese la cuenta de destino se transmitan al bus de eventos de la cuenta de destino.

Política basada en recursos

En este ejemplo, se utiliza el ID de la organización para controlar qué cuentas pueden incluir eventos en el bus de eventos de la cuenta de destino. Considere la posibilidad de utilizar una política más restrictiva, como especificar la cuenta de origen.

EventBridge cuotas

Tenga en cuenta las siguientes cuotas: