Un'azienda esegue la sua applicazione su Amazon Elastic Container Service (Amazon ECS) utilizzando il tipo di avvio AWS Fargate. Un ingegnere della sicurezza sospetta che alcune richieste in entrata siano dannose e deve ispezionare il container in esecuzione per recuperare i file di log e i dump della memoria con un sovraccarico operativo minimo. Quale approccio soddisfa questi requisiti?

L'opzione corretta è concedere i permessi AWS Systems Manager al ruolo della task ECS, abilitare ECS Exec per il servizio ECS e utilizzare ECS Exec per ispezionare il container in esecuzione. Questo approccio consente di accedere direttamente al container in esecuzione (anche con Fargate) per recuperare log e dump di memoria con un sovraccarico operativo minimo, senza modifiche all'applicazione o alla sua infrastruttura sottostante. Migrare a EC2 aumenterebbe la complessità e il sovraccarico operativo, oltre a non essere necessario. Modificare l'applicazione per scrivere su STDOUT e inviare a CloudWatch Logs è utile per i log standard, ma non per i dump di memoria o per l'ispezione interattiva. Abilitare CloudWatch Container Insights e AWS Distro for OpenTelemetry fornisce metriche e log, ma non un accesso diretto al container per il recupero di file specifici o l'ispezione in tempo reale.