第一步：创建 CloudWatch 日志组（Log Group）

1. 登录 AWS 控制台，进入 CloudWatch > 日志 > 日志组 页面；

2. 点击右上角的 “创建日志组”；

3. 输入日志组名称，例如：log-cloudwatch；

4. 保留默认设置（日志保留：永久不过期，日志类：标准）；

5. 点击确认完成创建。

📌 提示：日志组是存储所有日志流（Log Stream）的容器，CloudTrail 将日志推送到这里

第二步：创建自定义 IAM 策略（Policy）

1. 打开 IAM 控制台，点击左侧菜单中的 “策略”，再点击 “创建策略”；

2. 选择 JSON 编辑器，粘贴以下策略内容：

复制编辑

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSCloudTrailCreateLogStream20141101",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": [
        "arn:aws:logs:ap-southeast-2:503561453108:log-group:log-cloudwatch:*"
      ]
    },
    {
      "Sid": "AWSCloudTrailPutLogEvents20141101",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:ap-southeast-2:503561453108:log-group:log-cloudwatch:*"
      ]
    }
  ]
}
 

点击“下一步”，设置策略名称为 CloudTrail_CloudWatchLogs_Role，然后创建策略。

第三步：创建 CloudTrail 跟踪并发送日志到 CloudWatch

1. 进入 CloudTrail 控制台 > 跟踪 > 创建跟踪；

2. 输入跟踪名称，如 log；

3. 存储位置选择：创建新的 S3 存储桶，自动生成 S3 名称；

4. 启用 CloudWatch Logs 记录，并填写以下信息：

   • 日志组名称：log-cloudwatch

   • 角色名称：CloudWatchTrail

1. 继续下一步，勾选记录 读取 和 写入 的 API 活动；

2. 点击 “创建跟踪”。

第四步：验证配置是否成功

1. 回到 CloudTrail 控制台 > 跟踪 页面；

2. 你将看到已成功创建的跟踪项目，日志组列中已指向 log-cloudwatch；

进入 CloudWatch Logs，点击 log-cloudwatch，你可以看到日志流已开始生成。