为何手动创建日志组后，AWS CloudWatch Logs代理仍尝试创建它？

核心问题总结 #

• 基于PHP的AWS Elastic Beanstalk应用，默认日志（如/var/log/nginx/access.log）可正常流至CloudWatch，但添加/var/log/php-fpm/www-error.log时失败
• 报错显示aws-elasticbeanstalk-ec2-role无logs:CreateLogGroup权限，手动创建日志组后仍重复触发相同报错
• 使用的是已弃用的旧版CloudWatch Logs代理

解决方案步骤 #

1. 修复IAM角色权限（关键） #

旧版CloudWatch Logs代理存在已知行为：即使日志组已存在，仍会尝试执行创建操作。因此必须为aws-elasticbeanstalk-ec2-role补充对应权限：

• 进入IAM控制台，找到aws-elasticbeanstalk-ec2-role角色
• 附加或更新权限策略，添加以下语句：

{
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogStreams"
    ],
    "Resource": "arn:aws:logs:eu-west-1:*:*"
}

• 保存策略后，重启EC2实例上的代理服务：

sudo service awslogsd restart

2. 验证日志流配置文件正确性 #

检查.ebextensions/logs-streamtocloudwatch-linux.config的配置细节，确保：

• 日志组名称与手动创建的完全一致（旧代理可能自动添加环境名前缀，比如aws-elasticbeanstalk-<你的环境名>-var-log-php-fpm-www-error.log）
• 日志文件路径准确指向/var/log/php-fpm/www-error.log
• 区域配置为eu-west-1，示例配置片段：

files:
  "/etc/awslogs/config/php-error.conf":
    mode: "000600"
    owner: root
    group: root
    content: |
      [/var/log/php-fpm/www-error.log]
      log_group_name = aws-elasticbeanstalk-<你的环境名>-var-log-php-fpm-www-error.log
      log_stream_name = {instance_id}
      file = /var/log/php-fpm/www-error.log
      region = eu-west-1

commands:
  restart_awslogs:
    command: service awslogsd restart

3. 升级到新版CloudWatch Agent（推荐） #

旧版CloudWatch Logs代理已被弃用，兼容性问题较多，建议替换为统一的CloudWatch Agent：

• 在Elastic Beanstalk控制台的环境配置中，启用CloudWatch Agent日志流（直接替换旧代理）
• 或通过.ebextensions配置安装CloudWatch Agent并设置日志采集规则
• 新版Agent可自动识别已存在的日志组，仅需日志写入权限即可正常工作

4. 排查代理运行状态 #

执行以下命令获取更多排查信息：

# 查看代理运行状态
sudo service awslogsd status

# 查看详细错误日志
tail -n 50 /var/log/awslogs.log

同时确认/var/log/php-fpm/www-error.log文件是否允许root用户读取（旧代理以root身份运行）

内容的提问来源于stack exchange，提问作者dodov