如何通过AWS IAM角色变量为Lambda动态授予CloudWatch日志权限

你设想的直接用${aws:NameOfTheLambdaFunction}替换固定函数名的配置行不通，但完全可以通过AWS自带的条件键实现你要的效果：写一条通用策略挂到所有Lambda的执行角色上，让每个函数只能写入自己专属的CloudWatch日志组，不用给每个函数单独定制策略。

• IAM策略里能引用的变量、条件键必须是AWS在请求发起时提前注入到上下文里的合法字段，根本不存在aws:NameOfTheLambdaFunction}这个全局键，直接写进策略会因为字段无法解析，导致权限匹配失败。
• Lambda运行时代入执行角色调用CloudWatch Logs接口时，会自动在请求上下文里注入lambda:FunctionName字段，值就是当前正在执行的Lambda函数名，这个字段可以用来做权限的动态匹配。

注意不要把Lambda专属的条件键直接写在Resource字段里——资源字段仅支持解析部分全局级的条件键，服务专属的键要放在Condition块里做匹配。最终可用的策略内容如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaOnlyAccessOwnCWLogs",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/lambda/*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceArn": "arn:aws:logs:*:*:log-group:/aws/lambda/${lambda:FunctionName}*"
                }
            }
        }
    ]
}

• 你可以把这条策略存为客户托管策略，直接附加给所有Lambda的执行角色，后续新建Lambda也不用调整策略，自动适配新函数的日志权限。
• 条件匹配规则末尾的*是为了兼容带版本、别名的日志组路径（比如/aws/lambda/MyFunction:v1、/aws/lambda/MyFunction:prod），如果不需要支持版本/别名的日志访问，直接去掉末尾的*做精确匹配即可，权限收敛更严格。
• 不要图省事把Resource直接写成arn:aws:logs:*:*:*，会导致权限范围过大，违反最小权限原则。

内容的提问来源于stack exchange，提问作者Aleksandr Krymskiy