Come posso risolvere i problemi relativi a regole di EventBridge multi-account o multi-Regionali?

Breve descrizione

Gli eventi potrebbero non essere pubblicati su più account o in più Regioni per i seguenti motivi:

• La regola dell'evento nell'account di origine non si è avviata o le invocazioni della destinazione non hanno avuto esito positivo.
• L'account o l'organizzazione di origine non dispone delle autorizzazioni corrette.
• La regola dell'evento nell'account di destinazione non si è avviata o le invocazioni della destinazione non hanno avuto esito positivo.

Risoluzione

La regola dell'evento nell'account di origine non si è avviata o le invocazioni della destinazione non hanno avuto esito positivo

EventBridge pubblica un evento su più account solo quando l'account di origine avvia la regola dell'evento e invoca la destinazione.

EventBridge avvia una regola quando il suo modello corrisponde con l'evento in arrivo. Se il modello corrisponde, EventBridge invia un valore 1 alla metrica TriggeredRules per l'evento corrispondente. Per ulteriori informazioni sulle metriche di EventBridge, consulta Monitoraggio di Amazon EventBridge.

Se EventBridge attiva la regola, controlla la metrica Invocations per la regola corrispondente in modo da verificare se EventBridge ha invocato la destinazione. La metrica Invocations indica solo se EventBridge ha cercato di invocare la destinazione. La metrica non conferma il completamento dell'invocazione. Per verificare lo stato di completamento dell'invocazione della destinazione, utilizza la metrica FailedInvocations per la regola corrispondente. Se non c'è un punto dati nella metrica FailedInvocations, ma c'è un punto dati corrispondente nella metrica Invocations, EventBridge ha invocato correttamente la destinazione.

Le invocazioni potrebbero non riuscire perché il router di eventi dell'account di destinazione non dispone delle autorizzazioni richieste. Anche autorizzazioni AWS Identity and Access Management (AWS IAM) insufficienti per la destinazione della regola dell'account di origine possono causare l'esito negativo di un'invocazione.

L'account o l'organizzazione di origine non dispone delle autorizzazioni corrette

Per ricevere eventi da altri account o da AWS Organizations, l'account di origine deve disporre dell'autorizzazione per inviare eventi. Verifica che la policy basata sulle risorse collegata al router di eventi conceda l'autorizzazione appropriata all'account di origine.

Esempio di policy con autorizzazioni appropriate:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "WebStoreCrossAccountPublish",
    "Effect": "Allow",
    "Principal": {
      "AWS": "arn:aws:iam::SOURCE-ACC-ID:root"
    },
    "Action": "events:PutEvents",
    "Resource": "arn:aws:events:REGION:DESTINATION-ACC-ID:event-bus/destination-account-bus-name"
  }]
}

Nota: sostituisci SOURCE-ACC-ID con l'ID dell'account di origine e DESTINATION-ACC-ID con l'ID dell'account di destinazione.

Quando la destinazione della regola è un router di eventi, utilizza un ruolo IAM per concedere l'autorizzazione a inviare eventi a un altro account o a una Regione diversa. Collega la seguente policy basata sulle risorse al ruolo IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ActionsForResource",
            "Effect": "Allow",
            "Action": [
                "events:PutEvents"
            ],
            "Resource": [
                "arn:aws:events:REGION:<DESTINATION-ACC-ID>:event-bus/destination-account-bus-name"
            ]
        }
    ]
}

Nota: sostituisci DESTINATION-ACC-ID con l'ID del tuo account di destinazione.

L'account di origine può quindi eseguire una chiamata API PutEvents sul router di eventi dell'account di destinazione.

Se utilizzi PutTargets per creare manualmente la destinazione della regola impostando le autorizzazioni per l'intera organizzazione sul router di eventi, specifica un ruolo IAM.

Per ulteriori informazioni sulle autorizzazioni IAM richieste, consulta Concedi le autorizzazioni per consentire eventi da altri account AWS. Inoltre, consulta Autorizzazioni per router di eventi in Amazon EventBridge.

La regola dell'evento nell'account di destinazione non si è avviata o le invocazioni della destinazione non hanno avuto esito positivo

Quando pubblichi un evento sul router di eventi dell'account di destinazione, configura sul router di eventi una regola che corrisponda all'evento.

Per verificare se il modello della regola corrisponde con l'evento in arrivo che la avvia, controlla le metriche della regola dell'account di destinazione. Verifica che l'invocazione della destinazione abbia esito positivo.