CloudFormation配置API Gateway CloudWatch日志角色权限报错求助

我之前碰到过一模一样的问题，哪怕信任策略配置正确还是会报这个错，咱们从几个关键方向排查：

1. 确保执行CloudFormation栈的身份有iam:PassRole权限 #

这是最容易被忽略的点：当CloudFormation创建ApiGateway::Account资源并关联IAM角色时，执行栈的IAM用户/角色需要被允许将该角色传递给API Gateway服务。如果没有这个权限，AWS会判定角色ARN不具备API Gateway所需的权限。

给执行栈的身份添加如下策略：

- Effect: Allow
  Action: "iam:PassRole"
  Resource: !GetAtt ApiGatewayCloudWatchLogsRole.Arn
  Condition:
    StringEquals:
      "iam:PassedToService": "apigateway.amazonaws.com"

这个条件确保该PassRole权限只能用于传递给API Gateway，符合最小权限原则。

2. 给ApiGateway::Account添加显式依赖 #

虽然CloudFormation通常会自动处理资源依赖，但有时候角色的创建可能滞后于ApiGateway::Account的初始化请求，导致引用的ARN还未生效。显式添加依赖可以避免这个问题：

ApiGatewayAccount:
  Type: AWS::ApiGateway::Account
  DependsOn: ApiGatewayCloudWatchLogsRole
  Properties:
    CloudWatchRoleArn: !GetAtt ApiGatewayCloudWatchLogsRole.Arn

3. 优化IAM角色的日志权限（可选但推荐） #

你的当前策略用了logs:*，虽然权限足够，但AWS官方推荐使用更精细的权限集，这样也能避免潜在的权限冲突排查：

ApiGatewayCloudWatchLogsRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Statement:
        - Action:
            - "sts:AssumeRole"
          Effect: "Allow"
          Principal:
            Service:
              - "apigateway.amazonaws.com"
      Version: '2012-10-17'
    Path: /
    Policies:
      - PolicyName: 'ApiGatewayLogsPolicy'
        PolicyDocument:
          Version: '2012-10-17'
          Statement:
            - Effect: Allow
              Action:
                - "logs:CreateLogGroup"
                - "logs:CreateLogStream"
                - "logs:PutLogEvents"
                - "logs:DescribeLogGroups"
                - "logs:DescribeLogStreams"
              Resource: "arn:aws:logs:*:*:*"

4. 验证信任策略的语法正确性 #

再仔细核对信任策略的格式：确保Version是'2012-10-17'，Principal.Service是准确的apigateway.amazonaws.com（没有拼写错误，比如少了s或者标点）。

按照这几个步骤调整后，重新部署CloudFormation栈应该就能解决这个报错了。

内容的提问来源于stack exchange，提问作者Aliaksei Bulhak