Eine Amazon Linux 2 EC2-Instance sendet ihre Logs nicht an CloudWatch Logs, obwohl der CloudWatch-Agent läuft und die Agentenkonfiguration korrekt ist. Die Unternehmensrichtlinie verlangt, dass alle EC2-Logs in CloudWatch Logs veröffentlicht werden. Was sollte der SysOps-Administrator überprüfen, um dies zu beheben?

Die korrekte Antwort ist, die IAM-Rolle der EC2-Instance zu überprüfen, da fehlende Berechtigungen der häufigste Grund dafür sind, dass der CloudWatch-Agent keine Logs senden kann. Die EC2-Instance benötigt spezifische Berechtigungen (CreateLogGroup, CreateLogStream, PutLogEvents, DescribeLogStreams), um Log-Gruppen und -Streams zu erstellen und Log-Ereignisse an CloudWatch Logs zu senden. Ohne diese Berechtigungen kann der Agent seine Funktion nicht erfüllen, selbst wenn er korrekt konfiguriert ist und läuft. Das Installieren der AWS CLI und das Planen eines Cron-Jobs ist eine manuelle und ineffiziente Methode, die den CloudWatch-Agenten umgeht. Die Aufbewahrungseinstellung der Log-Gruppe beeinflusst die Speicherdauer, nicht aber das Senden der Logs. Das Erstellen eines Kinesis Data Streams ist eine alternative Methode zur Log-Erfassung, aber nicht die primäre Lösung, wenn der CloudWatch-Agent bereits konfiguriert ist und Logs direkt an CloudWatch Logs senden soll.