Ein Automatisierungskonto führt eine CI/CD-Pipeline aus, die neue AWS-Konten innerhalb einer AWS Organization erstellt. Eine Reihe interner Serviceteams arbeiten von separaten Servicekonten aus und möchten CloudTrail-Ereignisse in ihren Servicekonten erhalten, wann immer das Automatisierungskonto die CreateAccount-API aufruft, um ein neues Konto zu erstellen. Was ist der richtige Weg, um diese Kontoerstellungsereignisse mit den Servicekonten zu teilen?

Die korrekte Lösung besteht darin, eine EventBridge-Regel im Automatisierungskonto zu erstellen, die auf die CreateAccount-API-Aufrufe filtert. Diese Regel kann dann die gefilterten Ereignisse als Ziel an den Standard-Event-Bus in jedem Servicekonto senden. Um dies zu ermöglichen, muss die Ressourcenrichtlinie des Standard-Event-Busses in jedem Servicekonto aktualisiert werden, um dem Automatisierungskonto die Berechtigung zum Senden von Ereignissen zu erteilen. Dies ist der effizienteste und von AWS empfohlene Weg für die kontoübergreifende Weiterleitung von Ereignissen. Die anderen Optionen sind weniger effizient oder nicht korrekt: Das Erstellen benutzerdefinierter Event-Busse in jedem Servicekonto ist unnötig, da der Standard-Event-Bus diese Funktion bereits bietet. Das Erstellen passender benutzerdefinierter Busse in beiden Konten ist ebenfalls überkompliziert. Eine Regel, die direkt auf CloudTrail-Ereignisse von einem anderen Konto lauscht, ist keine EventBridge-Funktion.