如何在CloudFormation YAML中为AWS ECS Fargate配置logs:CreateLogGroup权限

核心问题 #

你遇到的权限报错，本质是CloudFormation中定义的ecsTaskExecutionRole缺少logs:CreateLogGroup权限，而AWS控制台手动创建任务时，会自动为默认的ecsTaskExecutionRole附加托管策略，包含该权限，所以手动部署能成功。

解决步骤 #

1. 确认角色权限配置 #

AWS官方的AmazonECSTaskExecutionRolePolicy托管策略已经包含了ECS任务执行所需的日志权限（包括logs:CreateLogGroup），你只需要在CloudFormation中确保ecsTaskExecutionRole正确关联该策略即可。

2. CloudFormation配置示例 #

方式一：使用AWS托管策略（推荐）

直接给角色附加官方托管策略，无需自定义权限：

EcsTaskExecutionRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Principal:
            Service: ecs-tasks.amazonaws.com
          Action: sts:AssumeRole
    ManagedPolicyArns:
      # 官方托管策略，包含日志创建、写入等权限
      - arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy

方式二：自定义内联策略（按需细化权限）

如果需要更严格的权限控制，可自定义策略仅允许指定日志组的操作：

EcsTaskExecutionRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Principal:
            Service: ecs-tasks.amazonaws.com
          Action: sts:AssumeRole
    Policies:
      - PolicyName: EcsTaskExecutionLogPermissions
        PolicyDocument:
          Version: '2012-10-17'
          Statement:
            - Effect: Allow
              Action:
                - logs:CreateLogGroup
                - logs:CreateLogStream
                - logs:PutLogEvents
              # 仅允许操作指定日志组，替换为你的日志组ARN
              Resource: !Sub 'arn:aws:logs:${AWS::Region}:${AWS::AccountId}:log-group:/ecs/bar:*'

3. 手动任务成功的原因 #

AWS控制台创建ECS任务时，若选择默认的ecsTaskExecutionRole，控制台会自动为该角色附加AmazonECSTaskExecutionRolePolicy托管策略——这个策略里已经包含了logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents等日志操作权限，所以手动部署能自动创建日志组。

额外注意事项 #

• 确保角色的信任关系正确配置，允许ecs-tasks.amazonaws.com服务扮演该角色（上述示例已包含）。
• 如果日志组/ecs/bar已提前创建，awslogs-create-group: true不会触发创建操作，但仍需角色拥有logs:CreateLogStream和logs:PutLogEvents权限才能写入日志。

内容的提问来源于stack exchange，提问作者Garret Wilson