API Gateway のログの IAM ロール設定で BadRequestException が発生するときの対処方法

困っていた内容

API Gateway のログを CloudWatch Logs へ出力するため IAM ロールを設定したところBadRequestExceptionが表示されて変更が保存できません。
権限関係のようですが、設定した IAM ロールには AWS 管理ポリシーのAmazonAPIGatewayPushToCloudWatchLogsを設定済みで過不足はない認識です。 IAM ロールを設定する方法を教えてください。

BadRequestException: The role ARN does not have required permissions configured. Please grant trust permission for API Gateway and add the required role policy.

どう対応すればいいの?

IAM ロールの信頼関係をご確認ください。

API Gateway で CloudWatch Logs を有効にする際に必要な IAM ロールは、権限に加えて、API Gateway（apigateway.amazonaws.com）への信頼関係が設定されている必要があります。

信頼関係は IAM ロール側で設定し、一例として上記画像の設定の場合は、次のような信頼関係に変更すると API Gateway に変更ができます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "apigateway.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

そのため、IAM ロールの信頼関係を確認し、API Gateway（apigateway.amazonaws.com）への信頼関係が不足していないかご確認ください。

ロールの信頼ポリシーを変更するには（コンソール） - AWS Identity and Access Management

なお、信頼関係の設定方法は上記ドキュメント、設定変更ではなく IAM ロールから新規に作成する場合は次のブログの「やってみた」が参考になると思います。

参考資料

• API Gateway での CloudWatch による REST API のログの設定 - Amazon API Gateway

アクセス許可をアカウントに付与するには、apigateway.amazonaws.com を信頼できるエンティティとして IAM ロールを作成し、前述のポリシーを IAM ロールにアタッチして、その IAM ロールの ARN をアカウントの cloudWatchRoleArn プロパティに設定します。

• AWS のサービスにロールを渡すアクセス権限をユーザーに付与する - AWS Identity and Access Management

多くの AWS サービスを設定するには、そのサービスに IAM ロールを渡す必要があります。

• API Gateway で「CloudWatch Logs role ARN must be set in account settings to enable logging」が発生するときの対処方法 | DevelopersIO