Какие разрешения нужны codebuild для записи журналов cloudwatch, когда они находятся внутри VPC?

Question

У меня есть проект codebuild, который я запускаю внутри VPC.Находясь за пределами VPC, проект запускается и регистрируется в журналах Cloudwatch.Мне нужно перейти в VPC, чтобы он мог получить доступ к базе данных.Находясь внутри VPC, этап установки завершается неудачно, и кодовая сборка не может что-либо записать в журналы Cloudwatch.На странице консоли для сборки написано:

Ошибка: указанный поток журнала не существует.

Я ожидаю, что проблема связана с группами безопасности, но поток Журналы включены, и они не показывают заблокированный трафик для ENI для сборки кода.

Для VPC существует интернет-шлюз, и в подсети есть маршруты к Интернету с использованием шлюза.

Проект codebuild построен на основе облачной информации.Журналы записываются, когда VpcConfig проекта codebuild закомментирован, но не тогда, когда он включен.Я считаю, что это демонстрирует, что разрешения IAM не являются проблемой.

Любые предложения приветствуются.

Answer 1

Документация Codebuild VPC скрывает этот кусочек в конце передового опыта.

Когда вы настраиваете свои проекты AWS CodeBuild для доступа к VPC, выбирайте только частные подсети.

Под этим подразумевается, что codebuild будет работать только в частной подсети с NAT.

Перемещение моей codebuild в частную подсеть из общедоступной подсети исправило мою ошибку.