CloudWatch コンソールでの Lambda 関数ログに対する「Log group does not exist」エラーを解決するための方法を教えてください。

最終更新日: 2021 年 4 月 14 日

Amazon CloudWatch コンソールで AWS Lambda 関数のログを表示しようとすると、「Log group does not exist」というエラーが表示されます。どうすればこのエラーを解決できますか?

簡単な説明

関数のログを表示しようとしたときに Lambda 関数のロググループがない場合、CloudWatch は次のエラーを返します。

"Log group does not exist. The specific log group: <log group name> does not exist in this account or region."

ログは、初めて関数を実行した後に生成されます。関数を呼び出した後にロググループがない理由は、通常、関数の AWS Identity and Access Management (IAM) アクセス許可に問題があるからです。

CloudWatch から「Log group does not exist」エラーのトラブルシューティングを行うには、以下の事項を確認します。

Lambda 関数の実行ロールに CloudWatch にログを書き込むための十分なアクセス許可がある。
IAM ポリシーのロググループリソースに関数の名前が含まれている。

注: Lambda@Edge のアクセス許可に関連するログの問題については、「Lambda@Edge のサービスにリンクされたロール」を参照してください。

解決方法

IAM コンソールで、Lambda 関数の実行ロールの IAM ポリシーを確認および編集して、次の条件を満たします。

書き込みアクション CreateLogGroup および CreateLogStream が許可されている。
注: 関数にカスタムのアクセス許可が必要ない場合は、 AWSLambdaBasicExecutionRole 管理ポリシーをアタッチできます。この管理ポリシーでは、Lambda による CloudWatch へのログの書き込みが許可されます。
Amazon リソースネーム (ARN) で指定された AWS リージョンは、Lambda 関数のリージョンと同じである。
log-group リソースに Lambda 関数名が含まれている。たとえば、関数の名前が myLambdaFunction の場合、関連付けられた log-group は /aws/lambda/myLambdaFunction です。

CloudWatch にログを書き込む Lambda 関数に必要なアクセス許可を含む JSON ポリシーの例

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "logs:CreateLogGroup",
            "Resource": "arn:aws:logs:region:accountId:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:region:accountId:log-group:/aws/lambda/functionName:*"
            ]
        }
    ]
}

CloudWatch コンソールでの Lambda 関数ログに対する「Log group does not exist」エラーを解決するための方法を教えてください。

簡単な説明

解決方法

関連情報