如何为DMS任务自动创建的日志组添加标签？

有几种可行方式可以给DMS自动生成的CloudWatch日志组添加合规标签，无需手动操作：

1. 用Terraform直接接管日志组的标签管理 #

如果DMS迁移任务创建的日志组有固定命名规则（通常为/aws/dms/tasks/<任务ID>），可以在Terraform中定义该日志组资源，配置所需标签，同时通过lifecycle和depends_on避免Terraform重复创建日志组（毕竟实际由DMS创建）：

resource "aws_dms_replication_task" "migration_task" {
  replication_task_id       = "prod-db-migrate"
  source_endpoint_arn       = aws_dms_endpoint.source.arn
  target_endpoint_arn       = aws_dms_endpoint.target.arn
  replication_instance_arn  = aws_dms_replication_instance.main.arn
  migration_type            = "full-load-and-cdc"
  table_mappings            = jsonencode({
    rules = [{
      rule-type = "selection"
      rule-id   = "1"
      rule-name = "include-all-tables"
      object-locator = {
        schema-name = "%"
        table-name  = "%"
      }
      action = "include"
    }]
  })
}

resource "aws_cloudwatch_log_group" "dms_task_log" {
  name              = "/aws/dms/tasks/${aws_dms_replication_task.migration_task.replication_task_id}"
  tags = {
    Environment = "Production"
    CostCenter  = "DB-Team"
    Compliance  = "SCP-Required"
  }

  depends_on = [aws_dms_replication_task.migration_task]

  lifecycle {
    ignore_changes = [name]  # 忽略名称变更，由DMS维护日志组本身
    create_before_destroy = false  # 禁止Terraform尝试重新创建日志组
  }
}

执行Terraform时，会自动为DMS已创建的日志组补上指定标签，且后续可通过Terraform维护标签变更。

2. 用Terraform标签API批量补标 #

如果有多个DMS日志组或命名不固定，可通过AWS标签API资源批量匹配并添加标签：

resource "aws_resourcegroups_tagging_api" "tag_dms_logs" {
  resource_type_filters = ["logs:log-group"]
  tags = {
    Environment = "Production"
    Owner       = "DMS-Ops"
  }

  # 通过名称前缀筛选所有DMS任务日志组
  resource_arn_list = [
    "arn:aws:logs:${var.region}:${var.account_id}:log-group:/aws/dms/tasks/*"
  ]

  depends_on = [aws_dms_replication_task.migration_task]
}

该资源会自动匹配符合前缀的日志组，统一应用标签。

3. 自动化Lambda+CloudTrail方案 #

如果需要全局管控所有DMS任务的日志组标签，可以配置Lambda触发器：

• 监听CloudTrail中的CreateReplicationTask事件
• 从事件中提取DMS任务对应的日志组ARN
• 调用PutTags API自动添加合规标签

这种方式无需修改Terraform代码，能覆盖手动创建的DMS任务场景。

注意事项 #

• 确保Terraform执行角色或Lambda角色拥有logs:TagLogGroup权限
• 若SCP要求标签必须随资源创建时存在，可提前手动创建带标签的日志组，再在DMS任务配置中指定该自定义日志组（部分DMS任务支持指定自定义日志组）

内容的提问来源于stack exchange，提问作者QueJin