ap-northeast-2 区域中的新工作负载在三个 Amazon EC2 Auto Scaling 组中运行。此区域中的所有工作负载都必须保留系统和应用程序日志 7 年。安全工程师必须确保日志在扩展期间不会丢失，并且仅在所需期限内保留。以下哪些步骤组合可以满足这些要求？（选择三项。）

为了确保日志在扩展期间不会丢失并保留 7 年，需要将日志从 EC2 实例收集到集中式日志服务，并配置适当的保留策略。在所有 EC2 实例上安装 Amazon CloudWatch 代理并将日志转发到 Amazon CloudWatch Logs 是标准实践，因为 CloudWatch 代理可以自动收集系统和应用程序日志。将 CloudWatch Logs 日志组的保留策略设置为 7 年，可以直接满足保留要求。最后，附加具有向 CloudWatch Logs 发布日志权限的 IAM 角色，确保 EC2 实例有权发送日志。将日志直接发送到 S3 需要额外的配置和管理，例如自定义日志转发应用程序和 S3 生命周期策略，这比使用 CloudWatch Logs 更复杂，且不直接满足“仅在所需期限内保留”的要求，因为 S3 生命周期策略是基于对象创建时间而非日志组。