Une fonction AWS Lambda a été utilisée à mauvais escient pour modifier des données. Un ingénieur en sécurité doit identifier qui a invoqué la fonction et ce qu'elle a renvoyé. Cependant, il n'y a aucun journal de la fonction dans Amazon CloudWatch Logs. Quelle explication justifie l'absence de journaux ?

L'absence de journaux CloudWatch pour une fonction Lambda indique souvent un problème d'autorisations. Le rôle d'exécution de la fonction Lambda doit disposer des autorisations logs:CreateLogGroup, logs:CreateLogStream et logs:PutLogEvents pour pouvoir envoyer des journaux à CloudWatch Logs. Si ces autorisations sont manquantes, la fonction s'exécutera mais ne pourra pas écrire ses journaux, ce qui correspond à la situation décrite. Les autres options sont incorrectes car : L'invocation via API Gateway n'empêche pas la journalisation CloudWatch ; la fonction Lambda génère toujours des journaux si les autorisations sont correctes. CloudWatch Logs n'écrit pas directement dans un compartiment S3 pour le stockage des journaux de fonction ; il utilise son propre service de stockage. Une version obsolète de la fonction n'affecterait pas sa capacité à écrire des journaux si les autorisations du rôle d'exécution sont valides.