Amazon EC2 Auto Scaling 그룹은 Amazon Linux 인스턴스를 시작하고 Amazon CloudWatch 에이전트를 설치하여 로그를 Amazon CloudWatch Logs로 보냅니다. 인스턴스는 현재 사용자 지정 지표를 CloudWatch에 게시하는 것을 허용하는 정책이 있는 IAM 역할을 가정합니다. 인스턴스는 NAT 게이트웨이를 통해 인터넷에 액세스할 수 있는 프라이빗 서브넷에서 실행됩니다. CloudWatch Logs 에이전트가 실행 중이고 올바르게 구성되었으며 AWS에 대한 네트워크 연결이 확인되었지만 CloudWatch Logs에 로그가 나타나지 않습니다. 보안 엔지니어는 로그가 게시되도록 무엇을 해야 합니까?

정답은 인스턴스 역할에 연결된 IAM 정책을 업데이트하여 필요한 CloudWatch Logs 권한(예: logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents)을 포함하는 것입니다. 현재 인스턴스 역할에는 사용자 지정 지표를 CloudWatch에 게시하는 권한만 있으며, 이는 CloudWatch Logs에 로그를 보내는 것과는 다릅니다. CloudWatch Logs 에이전트가 로그를 성공적으로 전송하려면 해당 로그 그룹 생성, 로그 스트림 생성 및 로그 이벤트 전송 권한이 필요합니다. 오답인 'Amazon EC2 Auto Scaling 서비스 연결 역할을 수정하여 CloudWatch Logs에 쓸 수 있는 권한을 부여합니다'는 Auto Scaling 그룹이 인스턴스를 시작하고 관리하는 데 사용하는 역할이며, 인스턴스에서 실행되는 애플리케이션의 권한과는 무관합니다. '인스턴스 역할에 연결된 IAM 정책을 업데이트하여 로그를 게시하는 데 필요한 AWS Logs API 작업을 포함합니다'는 올바른 방향이지만, 구체적인 권한(CreateLogGroup, CreateLogStream, PutLogEvents)을 명시하지 않아 불완전합니다. '로그 전달을 위한 경로를 제공하기 위해 CloudWatch Logs용 인터페이스 VPC 엔드포인트를 추가합니다'는 네트워크 연결이 이미 확인되었으므로 불필요합니다. NAT 게이트웨이를 통해 인터넷에 액세스할 수 있으므로 퍼블릭 엔드포인트에 도달할 수 있습니다.