Un'azienda distribuisce funzioni AWS Lambda con AWS CloudFormation. Gli sviluppatori stanno cercando di eseguire il debug di una funzione distribuita, ma questa non scrive l'output su Amazon CloudWatch Logs. Quale combinazione di azioni dovrebbe intraprendere un ingegnere della sicurezza per risolvere il problema? (Scegliere due.)

Per risolvere il problema, è fondamentale garantire che la funzione Lambda abbia le autorizzazioni corrette per assumere il proprio ruolo di esecuzione e per scrivere i log. La prima azione corretta è verificare la trust policy del ruolo definito nel template CloudFormation e associato alla funzione Lambda. Questa policy deve consentire al service principal lambda.amazonaws.com di eseguire sts:AssumeRole, altrimenti la funzione non potrà assumere il ruolo e quindi non potrà eseguire alcuna azione, inclusa la scrittura di log. La seconda azione corretta è assicurarsi che il ruolo di esecuzione Lambda abbia le autorizzazioni necessarie per scrivere su CloudWatch Logs (ad esempio, logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents). Senza queste autorizzazioni esplicite, anche se la funzione assume il ruolo, non potrà inviare i log. Le opzioni errate non risolvono il problema principale: La configurazione di AWS X-Ray è per il tracciamento delle richieste, non per la scrittura di log di base. Le resource policy delle funzioni Lambda controllano chi può invocare la funzione, non le sue autorizzazioni di esecuzione. Il ruolo utilizzato dagli sviluppatori per il debug è irrilevante per le autorizzazioni di esecuzione della funzione Lambda stessa.