aws_cloudwatch_log_resource_policy 创建哪些资源？

Posted 2023-03-24

【中文标题】aws_cloudwatch_log_resource_policy 创建哪些资源？

【英文标题】：What resources does aws_cloudwatch_log_resource_policy create?

【发布时间】：2018-08-01 10:11:46

【问题描述】：

当我在配置文件中使用aws_cloudwatch_log_resource_policy 时，它被成功应用了。我希望策略出现在 IAM -> Web 控制台的策略列表中，但没有新策略的迹象。

aws_cloudwatch_log_resource_policy 创建什么样的资源？

【参考方案1】：

简答：它创建 CloudWatch Logs 资源策略！

长答案：这是 AWS 用词不当，因为它实际上根本没有附加到资源，并且似乎是 CloudWatch 日志的服务级别访问策略。

我可以在 AWS 文档（撰写本文时）中找到的唯一参考是 API call 和 CLI command 描述 - 其他所有内容都是关于将资源策略添加到不同的目标。

似乎在我期望的任何地方都没有任何控制台支持它，但是如果您在控制台中创建一个 ElasticSearch 域，如果您正在设置慢查询日志，它会提示您提供一个。

最后是实际的错误消息，它把我带到这里，以便遇到类似问题的人更容易找到它：

ValidationException：为 CloudWatch Logs 日志组 es-redacted-prod-logs 指定的资源访问策略未授予 Amazon Elasticsearch Service 创建日志流的足够权限。请查看资源访问政策。

【参考方案2】：

与 Cloudwatch 日志组资源策略相关的更多提示：

只能通过 CloudWatch API、AWS 开发工具包之一或 AWS CLI 创建。 不支持云形成。 一个帐户每个区域最多可以有 10 个资源策略。 即使日志组/流不存在，我们也可以创建策略。 来自 IAM for Cloudwatch Logs 的 PutResourcePolicy 没有可用的条件键。所以唯一的选择是使用全局条件。