Um grupo do Amazon EC2 Auto Scaling inicia instâncias do Amazon Linux e instala o agente do Amazon CloudWatch para enviar logs para o Amazon CloudWatch Logs. As instâncias assumem uma função IAM com uma política que atualmente permite a publicação de métricas personalizadas no CloudWatch. As instâncias são executadas em uma sub-rede privada com acesso à internet por meio de um NAT gateway. O agente do CloudWatch Logs está em execução e configurado corretamente, e a conectividade de rede com a AWS é verificada, mas nenhum log aparece no CloudWatch Logs. O que o engenheiro de segurança deve fazer para garantir que os logs sejam publicados?

A resposta correta é atualizar a política do IAM anexada à função da instância. Embora a política atual permita a publicação de métricas personalizadas no CloudWatch, ela não inclui as permissões específicas necessárias para o CloudWatch Logs, como logs:CreateLogGroup, logs:CreateLogStream e logs:PutLogEvents. Sem essas permissões, o agente do CloudWatch Logs não consegue criar grupos de logs, fluxos de logs ou enviar eventos de log. Modificar a função vinculada ao serviço do Auto Scaling não resolveria, pois essa função é para o Auto Scaling gerenciar instâncias, não para as instâncias publicarem logs. A opção de adicionar um VPC endpoint de interface para o CloudWatch Logs é desnecessária, pois a conectividade de rede via NAT Gateway já foi verificada. A opção de "atualizar a política do IAM anexada à função da instância para incluir as ações de API do AWS Logs necessárias para publicar logs" é muito genérica e não especifica as permissões exatas, tornando a primeira opção mais precisa e completa.