在组织中创建跨账户 Amazon EventBridge 连接

Sam Wilson 和 Robert Stone，Amazon Web Services

Summary

大型分布式系统使用亚马逊 EventBridge 在 AWS Organizations 组织中的各个 Amazon Web Services (AWS) 账户之间传达状态变化。但是， EventBridge 通常只能定位同一个端点或消费者 AWS 账户。不同账户中的事件总线除外。该事件总线是一个有效目标。要在另一个账户中使用来自事件总线的事件，必须将事件从源账户的事件总线推送到目标账户的事件总线。为避免在管理不同应用程序中的关键事件时遇到困难 AWS 账户，请使用此模式中推荐的方法。

这种模式说明了如何实现一个事件驱动的架构 EventBridge ，该架构涉及组织 AWS 账户 中的多个事件 AWS Organizations 。该模式使用 AWS Cloud Development Kit (AWS CDK) 工具包和 AWS CloudFormation.

EventBridge 提供无服务器事件总线，可帮助您接收、过滤、转换、路由和传递事件。作为事件驱动架构的关键组成部分， EventBridge 它支持将消息的生成者和消息的使用者分开。在单个账户中，这非常简单。多账户结构则需要额外注意，才能将一个账户中的事件总线上的事件用于同一组织内的其他账户。

有关创建者和使用者的账户特定注意事项的信息，请参阅其他信息部分。

先决条件和限制

先决条件

产品版本

此模式已使用以下工具和版本构建和测试：

这种模式应该适用于任何版本的 AWS CDK v2 或 npm。13.0.0 至 13.6.0 版本的 Node.js 与 AWS CDK不兼容。

架构

目标架构

下图显示了从一个账户推送事件并在另一个账户中使用该事件的架构工作流。

工作流包含以下步骤：

最佳实践是使用死信队列（DLQ）来处理使用者 Lambda 函数的失败调用。但是，为清楚起见，此解决方案中省略了 DLQ。要详细了解如何在工作流程中实现 DLQ 并提高工作流程从故障中恢复的能力，请参阅实现 AWS Lambda 错误处理模式博客文章。

自动化和扩展

AWS CDK 自动配置所需的架构。 EventBridge 可以扩展到每秒数千条记录，具体取决于 AWS 区域. 有关更多信息，请参阅 Amazon EventBridge 配额文档。

工具

AWS 服务

其他工具

代码存储库

此模式的代码可在 GitHub cross-account-eventbridge-in- organization存储库中找到。

最佳实践

有关使用时的最佳实践 EventBridge，请参阅以下资源：

操作说明

cdk bootstrap --profile sourceAccount
cdk bootstrap --profile destinationAccount

git clone git@github.com:aws-samples/aws-cdk-examples.git

cd aws-cdk-examples/python/cross-account-eventbridge-in-organization

cdk deploy ProducerStack --profile sourceAccount

cdk deploy ConsumerStack --profile destinationAccount

cdk destroy ConsumerStack --profile destinationAccount

cdk destroy ProducerStack --profile sourceAccount

问题排查

相关资源

参考

教程和视频

附加信息

创建者规则

在 Source 账户中，创建了一个 EventBridge 事件总线来接受来自生产者的消息（如架构部分所示）。在此事件总线上创建了附带 IAM 权限的规则。这些规则基于以下cdk.json结构将目标账户中的 EventBridge 事件总线作为目标：

"rules": [
  {
    "id": "CrossAccount",
    "sources": ["Producer"],
    "detail_types": ["TestType"],
    "targets": [
      {
        "id": "ConsumerEventBus",
        "arn": "arn:aws:events:us-east-2:012345678901:event-bus/CrossAccount"
      }
    ]
  }
]

对于每条使用的事件总线，必须包括事件模式和目标事件总线。

事件模式

事件模式会筛选出此规则适用的事件。在本示例中，事件源和记录 detail_types 标识了哪些事件要从源账户的事件总线传输到目标账户的事件总线。

目标事件总线

此规则针对另一个账户中存在的事件总线。需要完整的 arn（Amazon 资源名称）来唯一标识目标事件总线，并且 id 是 AWS CloudFormation使用的逻辑 ID。在创建目标规则时，不必实际存在目标事件总线。

目标账户特定的注意事项

在目标账户中，创建了一个 EventBridge 事件总线，用于接收来自源账户的事件总线的消息。要允许从来源账户发布事件，您必须创建基于资源的策略：

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "AllowOrgToPutEvents",
    "Effect": "Allow",
    "Principal": "*",
    "Action": "events:PutEvents",
    "Resource": "arn:aws:events:us-east-2:012345678901:event-bus/CrossAccount",
    "Condition": {
      "StringEquals": {
        "aws:PrincipalOrgID": "o-XXXXXXXXX"
      }
    }
  }]
}

授予 events:PutEvents 权限尤为重要，该权限允许同一组织中的任何其他账户将事件发布到此事件总线。将 aws:PrincipalOrgId 设置为组织 ID 可授予所需的权限。

事件模式

您可以修改所包含的事件模式，以满足您的使用案例：

rule = events.Rule(
    self,
    self.id + 'Rule' + rule_definition['id'],
    event_bus=event_bus,
    event_pattern=events.EventPattern(
        source=rule_definition['sources'],
        detail_type=rule_definition['detail_types'],
    )
)

为了减少不必要的处理，事件模式应指定只有目标账户要处理的事件才会传输到目标账户的事件总线。

基于资源的政策

此示例使用组织 ID 来控制允许哪些账户在目标账户的事件总线上放置事件。考虑使用限制性更强的策略，例如指定源账户。

EventBridge 配额

记住以下配额：