Uma instância EC2 do Amazon Linux 2 não está enviando seus logs para o CloudWatch Logs, embora o agente do CloudWatch esteja em execução e a configuração do agente esteja correta. A política da empresa exige que todos os logs do EC2 sejam publicados no CloudWatch Logs. O que o administrador de SysOps deve verificar para resolver isso?

A causa mais comum para o agente do CloudWatch não enviar logs, mesmo com a configuração correta, é a falta de permissões adequadas. A função IAM anexada à instância EC2 precisa ter as permissões logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents e logs:DescribeLogStreams para interagir com o CloudWatch Logs. As outras opções são incorretas: Instalar o AWS CLI e agendar um cron job para PutLogEvents seria uma solução manual e ineficiente, contornando o propósito do agente do CloudWatch. A configuração de retenção do grupo de logs no CloudWatch Logs afeta por quanto tempo os logs são armazenados, não se eles são enviados inicialmente. Criar um Kinesis Data Stream e configurar o agente para encaminhar eventos para ele não resolveria o problema de permissão do agente para enviar logs para o CloudWatch Logs diretamente, e adicionaria uma camada de complexidade desnecessária para este caso de uso.