Uma VPC inclui uma sub-rede pública onde um NAT gateway é implantado e uma sub-rede privada com instâncias EC2 que usam esse NAT gateway para baixar atualizações. Os logs de fluxo da VPC para a ENI do NAT gateway estão sendo enviados para o CloudWatch Logs. O administrador SysOps precisa determinar os cinco principais destinos da internet que as instâncias da sub-rede privada contatam para downloads. Qual é a maneira mais eficiente operacionalmente de obter essa lista?

A opção correta é usar o CloudWatch Logs Insights. Ele permite consultar e analisar logs de forma interativa, incluindo logs de fluxo da VPC, diretamente no console do CloudWatch. Você pode escrever uma consulta para agregar os destinos e classificar por contagem, identificando os cinco principais de forma eficiente e sem a necessidade de reconfigurar a entrega de logs ou usar serviços adicionais. Executar o AWS CloudTrail Insights não é adequado, pois o CloudTrail registra chamadas de API da AWS, não o tráfego de rede das instâncias EC2. Usar logs de acesso do Amazon CloudFront também está incorreto, pois o CloudFront é um serviço de CDN e seus logs não contêm informações sobre o tráfego de saída das instâncias EC2 através do NAT Gateway. Reconfigurar o log de fluxo para o Amazon S3 e usar o Amazon Athena é uma solução viável, mas menos eficiente operacionalmente neste cenário, pois exige etapas adicionais de configuração e um serviço extra para a consulta, enquanto o CloudWatch Logs Insights já está integrado e otimizado para essa tarefa.