Funkcja AWS Lambda została niewłaściwie użyta do modyfikacji danych. Inżynier bezpieczeństwa musi zidentyfikować, kto wywołał funkcję i co ona zwróciła. Jednakże w Amazon CloudWatch Logs brakuje logów z tej funkcji. Które wyjaśnienie odpowiada za brakujące logi?

Poprawna odpowiedź to: Rola wykonawcza funkcji Lambda nie zawiera uprawnień do zapisywania logów w CloudWatch Logs. Funkcje AWS Lambda wymagają odpowiednich uprawnień w swojej roli wykonawczej (execution role), aby móc zapisywać logi do Amazon CloudWatch Logs. Jeśli te uprawnienia, takie jak logs:CreateLogGroup, logs:CreateLogStream i logs:PutLogEvents, nie są przypisane do roli, funkcja nie będzie w stanie wysyłać logów, co skutkuje ich brakiem w CloudWatch. Pozostałe opcje są nieprawidłowe: Wywołanie funkcji przez Amazon API Gateway nie wpływa na sposób, w jaki Lambda zapisuje logi do CloudWatch. Logi funkcji Lambda zawsze trafiają do CloudWatch, niezależnie od źródła wywołania. CloudWatch Logs nie używa zasobników Amazon S3 do przechowywania logów funkcji Lambda. Logi są przechowywane bezpośrednio w usłudze CloudWatch Logs. Wywołanie nieaktualnej wersji funkcji Lambda nie powoduje braku logów. Każda wersja funkcji, jeśli ma odpowiednie uprawnienia, generuje logi.