aws_cloudwatch_log_resource_policy会创建哪些资源？

Question

当我在配置文件中使用 aws_cloudwatch_log_resource_policy 时，它被成功应用。我期望在Web控制台的IAM -> 策略列表中出现一个策略，但没有新的策略迹象。

aws_cloudwatch_log_resource_policy 创建了什么样的资源？

- k_shil

Answer 1

简短回答：它创建了一个CloudWatch日志资源策略！

长篇回答：这是AWS的一个误称，因为它实际上并没有被附加到任何资源上，似乎是CloudWatch日志的服务级别访问策略。

截至本文撰写时，我在AWS文档中找到的唯一参考是API调用和CLI命令描述-其他所有内容都是关于添加资源策略到目标的，这是不同的事情。

此外，在我期望的任何地方都没有控制台支持它，但是如果您在控制台中创建ElasticSearch域并设置慢查询日志，则会提示您输入它。

最后，以下是实际的错误消息，使人们更容易找到此类问题：

ValidationException：为CloudWatch日志日志组es-redacted-prod-logs指定的资源访问策略不足以授予Amazon Elasticsearch Service创建日志流的权限。请检查资源访问策略。

- Devon Bleak

---

如果您想列出您的资源策略，您可以运行 aws logs describe-resource-policies 来查看所有策略。 - undefined

Answer 2

以下是与Cloudwatch日志组资源策略相关的几个提示：

1. 只能通过CloudWatch API、AWS SDK之一或AWS CLI创建。
2. 不支持云形成。
3. 一个帐户每个区域最多可以有10个资源策略。
4. 即使日志组/流不存在，我们也可以创建策略。
5. IAM的PutResourcePolicy用于Cloudwatch Logs没有可用的条件键。因此，唯一的选择是使用全局条件。

- samtoddler

---

现在您可以使用CloudFormation来创建它们，详见https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-logs-resourcepolicy.html - undefined