Een Amazon EC2 Auto Scaling-groep lanceert Amazon Linux-instances en installeert de Amazon CloudWatch-agent om logs naar Amazon CloudWatch Logs te sturen. Instances nemen een IAM-rol aan met een beleid dat momenteel het publiceren van aangepaste metrics naar CloudWatch toestaat. Instances draaien in een privé-subnet met internettoegang via een NAT-gateway. De CloudWatch Logs-agent draait en is correct geconfigureerd, en netwerkconnectiviteit met AWS is geverifieerd, maar er verschijnen geen logs in CloudWatch Logs. Wat moet de security engineer doen om ervoor te zorgen dat logs worden gepubliceerd?

De correcte optie is om het IAM-beleid van de instancerol bij te werken met de benodigde CloudWatch Logs-machtigingen (zoals logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents). Hoewel de instances al aangepaste metrics kunnen publiceren, is dit een aparte set machtigingen van die nodig zijn voor het publiceren van logs. Zonder deze specifieke machtigingen kan de CloudWatch Logs-agent geen logs naar CloudWatch Logs sturen. De optie om de service-linked role van Auto Scaling te wijzigen is incorrect, omdat deze rol wordt gebruikt door Auto Scaling zelf, niet door de EC2-instances voor hun eigen acties. Het bijwerken van het beleid met "vereiste AWS Logs API-acties" is te vaag en minder specifiek dan de correcte optie, die de exacte machtigingen noemt. Het toevoegen van een interface VPC endpoint voor CloudWatch Logs is niet nodig, aangezien de instances al internettoegang hebben via een NAT-gateway, wat voldoende is voor communicatie met CloudWatch Logs.