CloudWatch IAM策略变更告警失效问题排查求助

1. 确认CloudTrail是否捕获到目标事件 #

• 进入CloudTrail控制台，找到对应的跟踪，查看事件历史，搜索AttachRolePolicy/DetachRolePolicy等你测试的操作名称，确认事件是否被记录。
• 检查CloudTrail关联的S3存储桶，确认AWSLogs/[你的账户ID]/CloudTrail/[区域]/[年]/[月]/[日]/路径下有最新的日志文件生成。
• 验证CloudTrail跟踪的管理事件是否开启（IAM操作属于管理事件，默认开启，可在跟踪配置中确认）。

2. 校验CloudWatch日志指标过滤器 #

• 你的过滤器表达式可简化为更易维护的IN语法，避免逻辑错误：

  {$.eventName IN ["DeleteGroupPolicy", "DeleteRolePolicy", "DeleteUserPolicy", "PutGroupPolicy", "PutRolePolicy", "PutUserPolicy", "CreatePolicy", "DeletePolicy", "CreatePolicyVersion", "DeletePolicyVersion", "AttachRolePolicy", "DetachRolePolicy", "AttachUserPolicy", "DetachUserPolicy", "AttachGroupPolicy", "DetachGroupPolicy"]}
  

• 确认过滤器绑定到CloudTrail对应的日志组（默认是aws/cloudtrail，或你创建跟踪时指定的日志组）。
• 触发一次IAM策略变更后，在日志组中找到对应的日志事件，用过滤器的测试过滤器功能验证是否能匹配到该事件。

3. 检查CloudWatch告警配置 #

• 确认告警关联的命名空间、指标名称、维度与指标过滤器创建的完全一致（指标过滤器创建时需指定命名空间和指标名，告警必须对应）。
• 核对告警的阈值与统计规则：比如是否设置了“统计周期内指标值>0”，若阈值设为>1，单次事件不会触发告警；若评估周期设为多次连续满足，需多触发几次操作。
• 注意CloudWatch指标生成有延迟，触发事件后等待5-10分钟再检查告警状态。

4. 修复权限策略的语法错误 #

你提供的CloudWatch角色权限策略存在语法错误，iam:GetRole后缺失逗号，导致后续的autoscaling:Describe*、cloudwatch:*等权限全部无效：

// 错误写法
"iam:GetRole"
"autoscaling:Describe*",

// 正确写法
"iam:GetRole",
"autoscaling:Describe*",

修复后，角色才能获得cloudwatch:*和logs:*等关键权限，确保指标生成和告警触发流程正常。

此外，需确认CloudTrail的服务角色拥有logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents权限，保证日志能正常投递到CloudWatch Logs。

内容的提问来源于stack exchange，提问作者Igor