配置OpenTelemetry Collector导出日志到AWS CloudWatch Logs遇配置错误

核心问题 #

错误提示里的invalid keys: access_key_id, secret_access_key说明不是密钥本身的问题，而是这两个配置项的层级位置错误——OpenTelemetry Collector的awscloudwatchlogs导出器不支持直接在根层级配置这两个密钥字段，它们需要嵌套在aws配置块中。

修正后的配置示例 #

awscloudwatchlogs:
  region: ap-south-1
  aws:
    access_key_id: <my_access_key_id> 
    secret_access_key: <my_secret_access_key>
  log_group_name: log-group-test-1
  log_stream_name: log-stream-test-1

更安全的替代方案（推荐） #

在Kubernetes环境中，不建议直接在配置文件里明文写密钥，更安全的方式是使用IAM角色服务账户（IRSA）：

• 为Collector的ServiceAccount绑定具有CloudWatch Logs写入权限的IAM角色
• 移除配置中的aws块，Collector会自动通过IRSA获取认证凭证，无需手动配置密钥

验证步骤 #

1. 替换为修正后的配置
2. 重新通过Helm部署Collector
3. 查看Pod状态，若恢复正常，检查CloudWatch Logs中是否有日志流入

内容的提问来源于stack exchange，提问作者Rohan Prasad