CloudWatch日志导出至S3失败问题排查求助

1. S3桶加密与KMS密钥权限排查 #

报错指向KMS或桶加密配置，优先检查以下内容：

• 若S3桶启用SSE-KMS服务器端加密，需给CloudWatch日志服务（logs.ap-northeast-2.amazonaws.com）添加KMS密钥使用权限：
  打开KMS控制台，找到对应密钥并编辑密钥策略，新增以下语句：

  {
      "Effect": "Allow",
      "Principal": {
          "Service": "logs.ap-northeast-2.amazonaws.com"
      },
      "Action": [
          "kms:GenerateDataKey",
          "kms:Decrypt"
      ],
      "Resource": "*"
  }
  

• 若使用SSE-S3（AWS管理密钥），无需额外KMS配置，但需确认CloudWatch导出请求的加密头兼容SSE-S3。

2. S3桶策略优化调整 #

现有桶策略存在权限缺失或条件限制问题，建议调整：

• 补充s3:ListBucket权限，CloudWatch导出任务需遍历桶前缀：

  {
      "Effect": "Allow",
      "Principal": {
          "Service": "logs.ap-northeast-2.amazonaws.com"
      },
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::s3-bucket-logs"
  }
  

• 临时移除PutObject语句中的Condition块测试，若导出成功，说明ACL条件与CloudWatch默认请求不匹配，可后续调整ACL规则或保留无条件的权限配置。

3. 时间范围与日志存在性验证 #

检查代码中导出的时间范围是否有实际日志：

• 当前配置DAYS=1时，导出的是2天前到1天前的日志，需确认该时间段内CloudWatch日志组logs确实有日志生成。若该时段无日志，导出任务会完成但不会生成日志文件（仅保留测试文件）。

4. 代码错误处理与调试 #

• 补充导出任务失败状态的日志输出，便于定位具体错误：
  在代码的状态判断块中添加：

  else:
      error_msg = response_desc['exportTasks'][0]['status'].get('message', 'Unknown error')
      print(f"Export task failed: {status} - {error_msg}")
  

• 暂时注释日志流删除/重建逻辑，专注排查导出环节问题，避免后续清理操作干扰测试：
  注释以下代码段：

  # client.delete_log_stream(logGroupName=GROUP_NAME, logStreamName=stream_name)
  # client.create_log_stream(logGroupName=GROUP_NAME, logStreamName=stream_name)
  # ... 后续的put_log_events循环代码
  

内容的提问来源于stack exchange，提问作者Tae In Kim