Un grupo de Auto Scaling de Amazon EC2 lanza instancias de Amazon Linux e instala el agente de Amazon CloudWatch para enviar logs a Amazon CloudWatch Logs. Las instancias asumen un rol de IAM con una política que actualmente permite publicar métricas personalizadas en CloudWatch. Las instancias se ejecutan en una subred privada con acceso a internet a través de un NAT gateway. El agente de CloudWatch Logs se está ejecutando y está configurado correctamente, y la conectividad de red a AWS está verificada, pero no aparecen logs en CloudWatch Logs. ¿Qué debe hacer el ingeniero de seguridad para garantizar que los logs se publiquen?

La opción correcta es actualizar la política de IAM del rol de la instancia. Aunque la política actual permite publicar métricas personalizadas en CloudWatch, no incluye los permisos específicos necesarios para enviar logs a CloudWatch Logs (como logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents). Sin estos permisos, el agente de CloudWatch no puede interactuar con el servicio CloudWatch Logs. Las otras opciones son incorrectas porque: Modificar el rol vinculado al servicio de Auto Scaling no es relevante, ya que ese rol es para que Auto Scaling gestione las instancias, no para que las instancias envíen logs. La opción de "acciones de la API de AWS Logs" es demasiado genérica y no especifica los permisos correctos, que son los de CloudWatch Logs. Agregar un VPC endpoint de interfaz para CloudWatch Logs es una buena práctica para la conectividad privada, pero el problema principal aquí es la falta de permisos IAM, no la conectividad de red, que ya se verificó.