AWS ECS定时调度任务运行正常但未向CloudWatch输出日志问题

1. 检查任务执行角色的权限配置 #

这是该场景下最高发的原因：手动触发Run New Task时使用的是你当前登录账号的权限，默认具备CloudWatch日志写入权限；但定时触发的任务通过EventBridge调度，调用时依赖你任务定义绑定的**任务执行角色（Task Execution Role）**的权限，缺少对应权限时日志会无法上报。

• 打开IAM控制台，找到对应ECS任务的任务执行角色
• 确认角色的权限策略中包含以下日志相关权限：

{
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
    ],
    "Resource": "*"
}

如果是限定资源的精细化权限策略，需要确认资源ARN匹配你要写入的CloudWatch日志组、日志流的ARN。

2. 核对日志筛选规则是否匹配 #

如果你的任务定义配置了awslogs-stream-prefix参数，定时触发的任务生成的日志流名称可能和你手动排查时筛选的前缀不一致，容易被误以为没有日志上报。

• 打开CloudWatch日志控制台，进入对应日志组，清空所有筛选条件，查看最近15分钟内是否有新的日志流生成
• 对比定时触发任务的任务ID，确认是否存在和该ID匹配的日志流。

3. 检查任务启动的网络配置 #

如果ECS任务部署在私有子网，手动触发时你可能选择了公共子网、分配了公网IP，能正常访问CloudWatch接口；但定时触发的任务默认使用的子网配置没有公网访问能力，也没有配置CloudWatch Logs的VPC端点（VPCE），就会导致日志无法上报。

• 打开EventBridge对应定时规则的ECS配置，确认子网、安全组、公网IP分配规则和你手动触发时的选择完全一致
• 私有子网无公网出口的场景，需要为CloudWatch Logs配置对应的VPC端点，保障内网可以访问日志服务接口。

4. 验证程序日志输出逻辑 #

部分程序会区分运行模式，只有交互模式运行时才会输出日志到stdout/stderr，而非交互模式运行时日志直接写入本地文件，而ECS的awslogs日志驱动只会收集容器标准输出/标准错误的内容。

• 临时修改程序启动脚本，第一行加入固定打印逻辑，比如echo "Task started at $(date)"
• 重新发布任务定义后触发一次定时任务，确认是否有该条固定日志上报，排除程序本身输出逻辑的问题。

内容的提问来源于stack exchange，提问作者BtySgtMajor