Une entreprise a migré des serveurs vers EC2 et souhaite diffuser les journaux d'instances vers Amazon CloudWatch Logs en suivant les meilleures pratiques AWS. Que doit implémenter l'administrateur SysOps pour répondre à cette exigence ?

Pour diffuser des journaux d'instances EC2 vers CloudWatch Logs, l'administrateur SysOps doit installer et configurer l'agent CloudWatch sur chaque instance. Cet agent est responsable de la collecte et de l'envoi des journaux. De plus, un rôle IAM doit être attaché aux instances EC2. Ce rôle doit inclure des autorisations spécifiques (par exemple, logs:CreateLogStream, logs:PutLogEvents) pour permettre aux instances d'écrire des journaux dans CloudWatch Logs. L'activation de CloudWatch depuis la console ne configure pas automatiquement l'agent sur les instances. L'utilisation d'accréditations d'utilisateur IAM directement sur les instances est une mauvaise pratique de sécurité car cela expose les informations d'identification. Enfin, l'ajustement des règles de groupe de sécurité est nécessaire pour la connectivité réseau, mais ne gère pas l'authentification ou l'envoi des journaux eux-mêmes.