Un'azienda ha migrato i server su EC2 e desidera trasmettere in streaming i log delle istanze ad Amazon CloudWatch Logs seguendo le best practice AWS. Cosa dovrebbe implementare l'amministratore SysOps per soddisfare questo requisito?

L'opzione corretta è installare e configurare l'agente CloudWatch su ogni istanza e allegare un ruolo IAM. L'agente CloudWatch è necessario per raccogliere e trasmettere i log dalle istanze EC2 a CloudWatch Logs. Un ruolo IAM con le autorizzazioni appropriate (ad esempio, logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents) deve essere allegato all'istanza EC2 per consentire all'agente di scrivere i log in CloudWatch in modo sicuro e conforme alle best practice di AWS, evitando l'uso di credenziali hardcoded. Le altre opzioni sono errate perché: Abilitare CloudWatch dalla console non installa automaticamente l'agente né configura la trasmissione dei log. Allegare credenziali utente IAM direttamente alle istanze è una pratica sconsigliata per motivi di sicurezza; i ruoli IAM sono il metodo preferito. Regolare le regole del gruppo di sicurezza non è sufficiente; sebbene la connettività sia necessaria, non gestisce l'autorizzazione per scrivere i log in CloudWatch.