需配置何种IAM权限以通过AWS ECS Fargate任务详情页查看容器日志

我之前碰到过一模一样的场景，问题的核心其实很明确：虽然你的"Reader"用户已经有CloudWatch日志访问权限，也能查看ECS集群、服务和任务的基本详情，但ECS控制台要展示「Logs」标签，还需要额外权限来获取任务背后的日志配置信息——这些信息是存在任务定义里的，不是只看任务本身就能拿到的。

需要补充的IAM权限配置 #

你需要给"Reader"用户的IAM策略添加以下权限：

1. ECS任务定义的只读权限 #

这是最关键的缺失项，控制台需要通过这个权限获取任务对应的日志组、日志驱动等配置：

{
    "Effect": "Allow",
    "Action": "ecs:DescribeTaskDefinition",
    "Resource": "arn:aws:ecs:你的区域ID:你的账号ID:task-definition/*"
}

如果想更精细化控制，也可以把资源路径限定到特定的任务定义，而不是用通配符*。

2. 确认ECS任务描述权限的资源范围 #

如果之前的策略里ecs:DescribeTasks的资源不够明确，需要确保它覆盖目标集群下的所有任务：

{
    "Effect": "Allow",
    "Action": "ecs:DescribeTasks",
    "Resource": "arn:aws:ecs:你的区域ID:你的账号ID:task/*",
    "Condition": {
        "ArnEquals": {
            "ecs:cluster": "arn:aws:ecs:你的区域ID:你的账号ID:cluster/你的集群名称"
        }
    }
}

要是想覆盖所有集群，直接把Condition去掉，资源用arn:aws:ecs:你的区域ID:你的账号ID:cluster/*也可以。

3. 确保CloudWatch日志权限的完整性 #

虽然你说用户已经能在CloudWatch查看日志，但为了让ECS控制台能顺利拉取日志流和事件，建议确认权限包含以下动作（如果之前没覆盖全的话）：

{
    "Effect": "Allow",
    "Action": [
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams",
        "logs:GetLogEvents"
    ],
    "Resource": "arn:aws:logs:你的区域ID:你的账号ID:log-group:/aws/ecs/*:*"
}

这里的日志组路径可以根据你实际的ECS日志存储路径调整，确保覆盖所有任务对应的日志组。

问题根源说明 #

ECS控制台的「Logs」标签不是直接读取任务数据就能显示的：它得先通过ecs:DescribeTasks拿到任务关联的任务定义ARN，再用ecs:DescribeTaskDefinition获取日志组配置，最后才会调用CloudWatch Logs的API拉取具体日志。这三步里缺任何一个权限，控制台就会直接隐藏「Logs」标签。

你提到用户能直接在CloudWatch查看日志，说明CloudWatch的权限是足够的，核心缺失的就是任务定义的描述权限。

内容的提问来源于stack exchange，提问作者e-mre