aws_cloudwatch_log_resource_policy创建了哪些资源？

Question

当我在配置文件中使用aws_cloudwatch_log_resource_policy时，它已成功应用。我期待一项政策出现在IAM中 - ＆gt; Web控制台中的策略列表，但没有新策略的迹象。

aws_cloudwatch_log_resource_policy创建了哪种资源？

Answer 1

简短回答：它创建了一个CloudWatch Logs资源策略！

答案很长：它来自AWS的用词不当，因为它实际上根本没有附加到资源上，而且似乎是CloudWatch日志的服务级访问策略。

我可以在AWS文档中找到它的唯一引用（在撰写本文时）是API call和CLI command描述 - 其他一切都是关于将资源策略添加到目的地，这是另一回事

在我预期的任何地方似乎都没有任何控制台支持，但是如果你在控制台中创建一个ElasticSearch域，如果你正在设置它会提示你一个慢查询日志。

最后，这里的实际错误消息让我更容易找到遇到类似问题的人：

ValidationException：为CloudWatch Logs日志组指定的资源访问策略es-redacted-prod-logs未授予Amazon Elasticsearch Service创建日志流的足够权限。请检查资源访问策略。

Answer 2

与Cloudwatch日志组资源策略有关的更多提示：

1. 只能通过CloudWatch API，一种AWS开发工具包或AWS CLI创建。
2. 不支持云形成。
3. 一个帐户每个区域最多可以有10个资源策略。
4. 即使日志组/流不存在，我们也可以创建策略。
IAM for Cloudwatch Logs的
5. PutResourcePolicy 没有条件密钥。因此，唯一的选择是使用全局条件。