AWS EKS Fargate 记录到 AWS Cloudwatch：日志组未创建

Question

我使用了 AWS 的官方程序和这个程序来启用日志记录。

这是我应用的 yaml 个文件：

---
kind: Namespace
apiVersion: v1
metadata:
  name: aws-observability
  labels:
    aws-observability: enabled
---
kind: ConfigMap
apiVersion: v1
metadata:
  name: aws-logging
  namespace: aws-observability
data:
  flb_log_cw: "true"
  output.conf: |
    [OUTPUT]
        Name cloudwatch_logs
        Match   *
        region us-east-1
        log_group_name fluent-bit-cloudwatch
        log_stream_prefix from-fluent-bit-
        auto_create_group true
        log_key log

  parsers.conf: |
    [PARSER]
        Name crio
        Format Regex
        Regex ^(?<time>[^ ]+) (?<stream>stdout|stderr) (?<logtag>P|F) (?<log>.*)$
        Time_Key    time
        Time_Format %Y-%m-%dT%H:%M:%S.%L%z
  
  filters.conf: |
     [FILTER]
        Name parser
        Match *
        Key_name log
        Parser crio

在 pod 中，我可以看到日志记录已启用：

apiVersion: v1
kind: Pod
metadata:
  annotations:
    CapacityProvisioned: 2vCPU 4GB
    Logging: LoggingEnabled
    kubectl.kubernetes.io/restartedAt: "2023-01-17T19:31:20+01:00"
    kubernetes.io/psp: eks.privileged
  creationTimestamp: "2023-01-17T18:31:28Z"

日志存在于容器内：kubectl logs dev-768647846c-hbmv7 -n dev-fargate 但是在 AWS CloudWatch 中，即使是 fluent-bit 本身，也不会创建日志组 从 pod cli 我可以在 AWS Cloudwatch 中创建日志组，所以权限没问题 我也尝试过 cloudwatch 而不是 cloudwatch_logs 插件，但没有运气

Answer 1

我已经解决了我的问题。 棘手的是： IAM 策略必须附加到使用命名空间自动创建的默认 pod 执行角色，它与服务帐户\自定义 pod 执行角色无关