如何为团队成员配置AWS Elastic Beanstalk日志只读访问权限

我之前也碰到过这个棘手的问题——给团队成员加了官方的AWSElasticBeanstalkReadOnlyAccess权限，结果他们在EBS控制台里啥都看不到。其实根源在于这个官方策略有几个关键的权限缺失，以及资源访问的限制问题，下面是亲测有效的解决方案：

为什么官方只读权限不够？ #

官方的AWSElasticBeanstalkReadOnlyAccess虽然包含了大部分elasticbeanstalk:Describe*和elasticbeanstalk:Get*操作，但存在两个核心问题：

1. 部分列表类操作（比如elasticbeanstalk:ListApplications）的授权可能因为策略的资源匹配逻辑，导致用户无法加载应用/环境列表；
2. EBS的日志存储在专属S3桶和CloudWatch Logs中，官方策略没有包含这部分的只读权限，就算能看到应用，也无法查看日志。

解决方案：创建自定义IAM策略 #

我们需要构建一个覆盖EBS只读、日志相关S3和CloudWatch权限的自定义策略，替代原有的官方策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "elasticbeanstalk:List*",
                "elasticbeanstalk:Describe*",
                "elasticbeanstalk:Get*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-*",
                "arn:aws:s3:::elasticbeanstalk-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:GetLogEvents",
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/elasticbeanstalk/*"
        }
    ]
}

配置步骤 #

1. 登录AWS IAM控制台，找到需要授权的用户或用户组；
2. 移除原有的AWSElasticBeanstalkReadOnlyAccess策略（避免权限冲突，自定义策略已覆盖必要的EBS权限）；
3. 将上述自定义策略附加到目标用户/用户组；
4. 让用户退出并重新登录AWS控制台，访问Elastic Beanstalk页面。

可选：精细化权限控制 #

如果只想让用户访问特定的EBS应用，可以修改策略中的Resource字段，比如将"*"替换为目标应用的ARN：

"arn:aws:elasticbeanstalk:us-east-1:123456789012:application/YourTargetApp"

这样配置后，用户就能正常查看EBS应用列表、环境详情，以及对应的日志内容，同时无法执行更新、部署或创建新应用的操作。

内容的提问来源于stack exchange，提问作者user2203676