ある企業は、インターネットゲートウェイのないVPCの単一プライベートサブネットに一連のAmazon EC2インスタンスを所有しています。特定のアプリケーションからログを収集するために、すべてのインスタンスにAmazon CloudWatchエージェントがインストールされています。ログトラフィックをプライベートに保つため、ネットワーキングチームはCloudWatch（モニタリング）とCloudWatch LogsのVPCエンドポイントを作成し、それらをVPCにアタッチしました。アプリケーションはログを生成していますが、CloudWatchに表示されません。この問題をトラブルシューティングするために、セキュリティエンジニアはどのステップの組み合わせを実行すべきですか？（3つ選択してください。）

EC2インスタンスプロファイルに適切なIAM権限がない場合、CloudWatchエージェントはログをCloudWatchに送信できません。具体的には、logs:CreateLogStreamとlogs:PutLogEventsの権限が必要です。CloudWatchエージェントの設定ファイル（amazon-cloudwatch-agent.jsonなど）が正しく構成されていないと、エージェントは意図したログファイルを収集しません。VPCエンドポイントポリシーがEC2インスタンスからのアクセスを明示的に拒否している場合、エンドポイントは機能しません。 ログにメトリックフィルターを作成しても、ログが表示されない根本的な問題は解決しません。NATゲートウェイは、VPCエンドポイントが設定されているため不要です。EC2インスタンス間の通信は、ログの収集には直接関係ありません。