Een bedrijf heeft een set Amazon EC2-instances in één privé-subnet van een VPC zonder internetgateway. De Amazon CloudWatch-agent is op alle instances geïnstalleerd om logs van een specifieke applicatie te verzamelen. Om logverkeer privé te houden, heeft het netwerkteam VPC-endpoints voor CloudWatch (monitoring) en CloudWatch Logs aangemaakt en deze aan de VPC gekoppeld. De applicatie genereert logs, maar deze verschijnen niet in CloudWatch. Welke combinatie van stappen moet de security engineer nemen om dit probleem op te lossen? (Kies drie.)

De CloudWatch-agent heeft IAM-machtigingen nodig via een EC2-instanceprofiel om logstreams aan te maken en loggebeurtenissen naar CloudWatch Logs te schrijven. Zonder de juiste machtigingen kunnen logs niet worden verzonden. Het configuratiebestand van de CloudWatch-agent moet correct zijn ingesteld om de specifieke applicatielogs te verzamelen en naar de juiste loggroep te sturen. Onjuiste configuratie betekent dat de agent de logs niet vindt of niet weet waar ze heen moeten. Ten slotte moeten de VPC endpoint policies voor CloudWatch en CloudWatch Logs de EC2-instances toestaan om verbinding te maken en te communiceren met de services. Zonder de juiste beleidsregels wordt de toegang geweigerd, zelfs met de endpoints aanwezig. Het aanmaken van een metrische filter is pas relevant nadat de logs succesvol zijn verzonden naar CloudWatch Logs. Een NAT-gateway is niet nodig omdat VPC-endpoints directe, privéconnectiviteit bieden. Security groups die communicatie tussen EC2-instances toestaan, zijn niet direct gerelateerd aan het verzenden van logs naar CloudWatch, tenzij er een specifieke aggregatielaag is die hier niet wordt genoemd.