AWS CloudWatch配置单log group访问权限却显示所有日志组如何解决？

出现该问题的核心原因是AWS CloudWatch控制台默认调用logs:DescribeLogGroups接口拉取全量日志组列表，如果你配置的IAM策略中该操作没有附加对应资源限制条件，就会返回所有日志组，仅在点击无权限的日志组时才会报错。

1. 调整IAM策略配置 #

按照如下规则修改你的权限策略，即可实现仅展示指定日志组：

• 列表类权限logs:DescribeLogGroups必须附加条件限制，不能直接给全局权限，示例配置：

{
    "Effect": "Allow",
    "Action": "logs:DescribeLogGroups",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "logs:ResourceLogGroupName": "<替换为你的目标日志组完整名称>"
        }
    }
}

如果需要匹配同一前缀的多个日志组，可将条件改为StringLike，值填<前缀名>*即可。

• 读取类操作直接指定目标日志组的ARN即可，示例配置：

{
    "Effect": "Allow",
    "Action": [
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "logs:GetLogGroupFields",
        "logs:GetLogRecord"
    ],
    "Resource": "arn:aws:logs:<替换为AWS区域>:<替换为你的账号ID>:log-group:<替换为目标日志组完整名称>:*"
}

2. 控制台使用注意事项 #

• 策略生效后进入CloudWatch日志组页面，直接在顶部搜索框输入目标日志组名称即可加载对应资源，其他日志组不会出现在列表中。
• 如果仍能看到其他日志组，优先通过IAM策略模拟器验证当前身份的所有关联权限，排查是否有用户组策略、权限边界等更高优先级的规则授予了全局logs:DescribeLogGroups权限。

3. 常见排查点 #

• 确认条件中的日志组名称、ARN中的区域、账号ID完全匹配，日志组名称大小写敏感，不要包含多余前后空格。
• 不要给不必要的全局日志类权限，比如logs:Describe*这种通配符权限会覆盖你配置的条件限制。

内容的提问来源于stack exchange，提问作者Ankush V