使用Terraform配置API Gateway CloudWatch日志后无输出的问题

• 日志组路径命名完全不匹配API Gateway的写入规则
  当前创建的日志组名称是 /aws/lambda/${var.name}-api-gateway，这是AWS Lambda专属的日志路径规范。API Gateway的执行日志默认只会写入匹配自身路径规则的日志组（默认路径为API-Gateway-Execution-Logs_<REST_API_ID>/<Stage名>），将日志组建在Lambda路径下，API Gateway即使权限配置正确，也不会主动向这个路径写入任何日志。
• Method Settings配置缺少日志生效的关键绑定
  现有配置仅开启了CloudWatch指标上报、设置了ERROR级别的日志等级，但存在两个配置缺口：
  • 没有显式开启data_trace_enabled参数，ERROR级别的执行日志默认仅记录API Gateway内部处理的错误堆栈，不会主动采集请求级别的日志数据
  • 没有通过access_log_settings块将提前创建的日志组作为日志输出目标，API Gateway的日志生成后没有对应的写入目的地，自然不会产生任何日志条目
• 资源依赖顺序存在偏差
  现在的aws_api_gateway_deployment直接内联指定了stage_name，但aws_api_gateway_method_settings没有显式关联该部署资源，也没有使用部署资源输出的stage属性做绑定。这种配置下极容易出现：部署完成后，方法级别的日志配置没有真正同步到对应stage上，控制台里实际看到的stage日志开关仍是关闭状态——这也是之前报错消失但仍无日志的核心原因：Account层面的日志角色配置已生效，但Stage层面的日志开关从未真正打开。
• 每次配置变更后未触发新的部署
  API Gateway的Stage配置是绑定在部署快照上的，仅修改aws_api_gateway_method_settings而不生成新的部署版本，配置不会对线上流量生效。

修正参考 #

1. 将日志组路径调整为API Gateway专属路径：

resource "aws_cloudwatch_log_group" "api_gateway_log_group" {
  name              = "/aws/apigateway/${var.name}-api-gateway"
  retention_in_days = 14
}

2. 补全Method Settings的日志配置与依赖：

resource "aws_api_gateway_method_settings" "example" {
  rest_api_id = aws_api_gateway_rest_api.root_api.id
  stage_name  = aws_api_gateway_deployment.deployment.stage_name
  method_path = "*/*"

  depends_on = [aws_api_gateway_deployment.deployment]

  settings {
    metrics_enabled = true
    logging_level   = "ERROR"
    data_trace_enabled = true # 开启请求级别的日志采集
  }

  # 绑定提前创建的日志组为日志输出目标
  access_log_settings {
    destination_arn = aws_cloudwatch_log_group.api_gateway_log_group.arn
    format = "$context.requestId $context.httpMethod $context.path $context.status $context.responseTime"
  }
}

3. 确认每次API Gateway配置变更后，Terraform会生成新的部署版本，确保日志配置对所有线上流量生效。

注意：当前给API Gateway角色配置的全量CloudWatch日志权限虽然能正常工作，但建议后续将权限资源收紧为仅允许写入提前创建的API Gateway日志组ARN，避免权限过宽的安全风险。

内容的提问来源于stack exchange，提问作者Matt W