aws_cloudwatch_log_resource_policy创建哪些资源？

Question

当我aws_cloudwatch_log_resource_policy在配置文件中使用该文件时，它已成功应用。我期望某个策略出现在Web控制台的IAM->“策略”列表中，但是没有新策略的迹象。

aws_cloudwatch_log_resource_policy创建什么样的资源？

Answer 1

简短的答案：它创建了CloudWatch Logs资源策略！

长答案：这是AWS的一个误称，因为它实际上根本没有附加到资源，并且似乎是CloudWatch日志的服务级别访问策略。

我在AWS文档中（截至撰写本文时）可以找到的唯一参考是API调用和CLI命令描述-其他所有内容都是关于向目标添加资源策略的事情，这是另一回事。

我所期望的地方似乎也没有任何控制台支持它，但是，如果您要在控制台中创建ElasticSearch域，则在设置慢查询日志时会提示您输入一个。

最后，这是实际的错误消息，使我来到这里，可以使遇到类似问题的人更容易找到它：

ValidationException：为CloudWatch Logs日志组es-rededed-prod-logs指定的资源访问策略未授予Amazon Elasticsearch Service创建日志流的足够权限。请检查资源访问策略。

Answer 2

与 Cloudwatch 日志组资源策略相关的更多提示：

1. 只能通过 CloudWatch API、AWS 开发工具包之一或 AWS CLI 创建。
2. 不支持云形成。
3. 一个账户每个区域最多可以有 10 个资源策略。
4. 即使日志组/流不存在，我们也可以创建策略。
5. Cloudwatch Logs 的 IAM 中的PutResourcePolicy没有可用的条件键。所以唯一的选择是使用全局条件。