Un gruppo Amazon EC2 Auto Scaling avvia istanze Amazon Linux e installa l'agente Amazon CloudWatch per inviare i log a Amazon CloudWatch Logs. Le istanze assumono un ruolo IAM con una policy che attualmente consente la pubblicazione di metriche personalizzate su CloudWatch. Le istanze vengono eseguite in una sottorete privata con accesso a Internet tramite un NAT gateway. L'agente CloudWatch Logs è in esecuzione e configurato correttamente, e la connettività di rete ad AWS è verificata, ma nessun log appare in CloudWatch Logs. Cosa dovrebbe fare l'ingegnere della sicurezza per garantire che i log vengano pubblicati?

L'agente CloudWatch Logs richiede autorizzazioni specifiche per inviare i log a CloudWatch Logs. Sebbene la policy IAM attuale consenta la pubblicazione di metriche personalizzate, non include le autorizzazioni necessarie per le operazioni sui log, come logs:CreateLogGroup, logs:CreateLogStream e logs:PutLogEvents. Aggiornare la policy IAM allegata al ruolo dell'istanza EC2 con queste autorizzazioni risolverà il problema. Modificare il ruolo collegato al servizio Auto Scaling è errato perché il servizio Auto Scaling gestisce le istanze, ma l'agente CloudWatch in esecuzione sull'istanza è responsabile dell'invio dei log e utilizza il ruolo dell'istanza. Aggiornare la policy IAM allegata al ruolo dell'istanza per includere le azioni API di AWS Logs richieste è troppo generico e non specifica le autorizzazioni corrette per CloudWatch Logs. Aggiungere un VPC endpoint di interfaccia per CloudWatch Logs è inutile in questo scenario, poiché la connettività di rete ad AWS è già verificata tramite il NAT Gateway e il problema è legato alle autorizzazioni.