Uma conta de produção da AWS armazena logs de segurança no CloudWatch Logs. Uma conta de segurança separada da AWS receberá esses logs para armazenamento e análise. A empresa precisa entregar os logs do CloudWatch Logs da conta de produção para a conta de segurança usando o Amazon Kinesis Data Streams. Qual abordagem satisfaz esse requisito?

A abordagem correta é criar o Kinesis Data Stream na conta de segurança, pois é onde os logs serão armazenados e analisados. A função IAM e a política de confiança são necessárias para permitir que o CloudWatch Logs da conta de produção grave dados nesse stream. O filtro de assinatura deve ser criado na conta de produção, onde os logs de segurança são gerados, para que o CloudWatch Logs possa encaminhá-los para o Kinesis Data Stream na conta de segurança. As opções incorretas falham porque: Criar o stream na conta de produção e tentar conceder permissões entre contas para um stream na mesma conta não faz sentido. Criar o filtro de assinatura na conta de segurança não funcionaria, pois o CloudWatch Logs da conta de segurança não tem acesso aos logs da conta de produção para criar um filtro. Criar o stream na conta de produção e tentar conceder permissões entre contas para um stream na conta de segurança é uma configuração incorreta, pois o stream deveria estar na conta de segurança.