Ein Sicherheitsingenieur mit Administratorberechtigungen meldet sich bei der AWS Lambda-Konsole an und versucht, Amazon CloudWatch-Protokolle für eine Funktion namens „myFunction“ anzuzeigen. Beim Auswählen der Option in der Lambda-Konsole zum Anzeigen von Protokollen in CloudWatch wird die Meldung „Fehler beim Laden der Protokollstreams“ angezeigt. Die Ausführungsrolle der Lambda-Funktion hat die folgenden IAM-Richtlinienanweisungen. Wie sollte der Sicherheitsingenieur den Fehler beheben?

Die Fehlermeldung „Fehler beim Laden der Protokollstreams“ deutet darauf hin, dass der Sicherheitsingenieur keine Berechtigung hat, die Protokollstreams in CloudWatch anzuzeigen. Die zweite Allow-Anweisung in der Ausführungsrolle der Lambda-Funktion erlaubt bereits logs:FilterLogEvents, logs:GetLogEvents und logs:DescribeLogStreams, was das Filtern und Abrufen von Protokollereignissen sowie das Beschreiben von Streams ermöglicht. Um jedoch Protokollstreams zu erstellen, wenn diese noch nicht existieren, oder um sie korrekt anzuzeigen, benötigt die Rolle die Berechtigung logs:CreateLogStream. Ohne diese Berechtigung können möglicherweise keine neuen Streams erstellt oder vorhandene nicht korrekt geladen werden, was zu dem Fehler führt. Die Option logs:CreateLogGroup ist falsch, da die Protokollgruppe wahrscheinlich bereits existiert. logs:PutDestination ist für das Hinzufügen von Zielen für Protokollexporte und nicht für das Anzeigen von Streams relevant. logs:GetLogEvents ist bereits in der Richtlinie enthalten und würde den Fehler nicht beheben.