Una empresa migró servidores a EC2 y quiere transmitir los logs de las instancias a Amazon CloudWatch Logs siguiendo las mejores prácticas de AWS. ¿Qué debería implementar el administrador de SysOps para cumplir este requisito?

La opción correcta es instalar y configurar el agente de CloudWatch en cada instancia y adjuntar un rol de IAM. El agente de CloudWatch es necesario para recopilar logs personalizados de las instancias EC2 y enviarlos a CloudWatch Logs. Un rol de IAM es la forma segura y recomendada por AWS para otorgar permisos a las instancias EC2 para interactuar con otros servicios de AWS, como CloudWatch. Al adjuntar un rol, las instancias obtienen credenciales temporales automáticamente, eliminando la necesidad de almacenar credenciales de forma explícita. La primera opción es incorrecta porque AWS no instala ni configura automáticamente el agente de CloudWatch para logs personalizados; esto requiere una configuración manual o automatizada por parte del usuario. La tercera opción es incorrecta porque adjuntar credenciales de usuario de IAM directamente a las instancias es una mala práctica de seguridad; los roles de IAM son el método preferido. La cuarta opción es incorrecta porque, si bien los grupos de seguridad son importantes para el tráfico de red, no son el mecanismo para otorgar permisos de escritura a CloudWatch Logs; eso lo maneja IAM.