Eine Amazon EC2 Auto Scaling-Gruppe startet Amazon Linux-Instances und installiert den Amazon CloudWatch-Agenten, um Protokolle an Amazon CloudWatch Logs zu senden. Die Instances übernehmen eine IAM-Rolle mit einer Richtlinie, die derzeit das Veröffentlichen benutzerdefinierter Metriken in CloudWatch erlaubt. Die Instances werden in einem privaten Subnetz mit Internetzugang über ein NAT-Gateway ausgeführt. Der CloudWatch Logs-Agent läuft und ist korrekt konfiguriert, und die Netzwerkverbindung zu AWS ist überprüft, aber es erscheinen keine Protokolle in CloudWatch Logs. Was sollte der Sicherheitsingenieur tun, um sicherzustellen, dass Protokolle veröffentlicht werden?

Die Instanzen benötigen spezifische IAM-Berechtigungen, um Protokolle an CloudWatch Logs senden zu können. Die aktuelle Richtlinie erlaubt nur das Veröffentlichen benutzerdefinierter Metriken, nicht aber das Schreiben von Protokollen. Durch das Hinzufügen von Aktionen wie logs:CreateLogGroup, logs:CreateLogStream und logs:PutLogEvents zur IAM-Rolle der Instanz wird die erforderliche Autorisierung für den CloudWatch Logs-Agenten bereitgestellt. Die Rolle des Auto Scaling-Dienstes ist für die Verwaltung der Instanzen zuständig, nicht für die Berechtigungen der Instanzen selbst. Die Option, die AWS Logs API-Aktionen zu aktualisieren, ist zu allgemein; es müssen spezifische CloudWatch Logs-Berechtigungen sein. Ein VPC-Endpunkt ist nicht erforderlich, da der Internetzugang über ein NAT-Gateway bereits besteht und die Konnektivität überprüft wurde.