Een productie AWS-account slaat beveiligingslogs op in CloudWatch Logs. Een afzonderlijk beveiligings-AWS-account ontvangt die logs voor opslag en analyse. Het bedrijf moet de CloudWatch Logs van het productieaccount naar het beveiligingsaccount leveren met behulp van Amazon Kinesis Data Streams. Welke aanpak voldoet aan deze vereiste?

De correcte aanpak is om de Kinesis Data Stream aan te maken in het ontvangende beveiligingsaccount, omdat dit de uiteindelijke bestemming van de logs is. Een IAM-rol met een trust policy in het beveiligingsaccount geeft CloudWatch Logs de benodigde machtigingen om gegevens naar deze stream te pushen. Het subscription filter moet in het productieaccount worden geconfigureerd, omdat dit het account is waar de CloudWatch Logs vandaan komen en waar de loggroepen zich bevinden die doorgestuurd moeten worden. De andere opties zijn incorrect omdat: Het aanmaken van de datastroom in het productieaccount en cross-account machtigingen voor het beveiligingsaccount om uit die stroom te lezen, is niet de meest efficiënte methode voor het pushen van logs. Het aanmaken van het subscription filter in het beveiligingsaccount is onjuist, aangezien de loggroepen zich in het productieaccount bevinden. Het aanmaken van de datastroom in het productieaccount en cross-account machtigingen voor het productieaccount om naar een stroom in het beveiligingsaccount te schrijven, is onnodig complex en niet de standaardmethode voor CloudWatch Logs abonnementen.