Een bedrijf gebruikt Amazon Route 53 Resolver in een hybride DNS-opstelling. Doorstuurregels sturen queries voor specifieke autoritatieve domeinen naar on-premises DNS-servers. Een nieuw mandaat vereist dat het bedrijf DNS-verkeer dat naar die on-premises servers wordt doorgestuurd, logt en opvraagt. De logs moeten het IP-adres van de broninstantie en de aangevraagde DNS-naam bevatten, zoals gezien door Route 53 Resolver. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het inschakelen van Route 53 Resolver query logging. Deze functie is specifiek ontworpen om DNS-query's vast te leggen die door Route 53 Resolver worden verwerkt, inclusief die doorgestuurd naar on-premises servers. De logs bevatten essentiële informatie zoals het bron-IP-adres van de aanvragende instantie en de aangevraagde DNS-naam. Door deze logs naar Amazon CloudWatch Logs te sturen, kan CloudWatch Logs Insights efficiënt worden gebruikt voor het opvragen en analyseren van de vereiste gegevens. VPC Traffic Mirroring is ongeschikt omdat het netwerkverkeer op de ENI spiegelt, niet specifiek DNS-query's op het Resolver-niveau, en het is complexer om hieruit specifieke DNS-query-informatie te extraheren. VPC Flow Logs registreren IP-verkeersstromen, maar bieden geen gedetailleerde DNS-query-informatie zoals de aangevraagde DNS-naam. Route 53 Resolver forwarding rules kunnen geen logs direct naar een S3-bucket sturen; logging wordt geconfigureerd op het Resolver-niveau, niet per regel.