Grupa Auto Scaling Amazon EC2 uruchamia instancje Amazon Linux i instaluje agenta Amazon CloudWatch, aby wysyłać logi do Amazon CloudWatch Logs. Instancje przyjmują rolę IAM z polityką, która obecnie zezwala na publikowanie niestandardowych metryk do CloudWatch. Instancje działają w prywatnej podsieci z dostępem do internetu przez bramę NAT. Agent CloudWatch Logs działa i jest poprawnie skonfigurowany, a łączność sieciowa z AWS jest zweryfikowana, ale żadne logi nie pojawiają się w CloudWatch Logs. Co powinien zrobić inżynier bezpieczeństwa, aby zapewnić publikowanie logów?

Poprawna odpowiedź to aktualizacja polityki IAM dołączonej do roli instancji. Instancje EC2, które wysyłają logi do CloudWatch Logs, muszą mieć odpowiednie uprawnienia IAM, takie jak logs:CreateLogGroup, logs:CreateLogStream i logs:PutLogEvents. Obecna polityka zezwala tylko na publikowanie niestandardowych metryk, a nie logów. Modyfikacja roli połączonej z usługą Amazon EC2 Auto Scaling jest nieprawidłowa, ponieważ ta rola zarządza instancjami Auto Scaling, a nie uprawnieniami instancji do wysyłania logów. Aktualizacja polityki IAM dołączonej do roli instancji, aby uwzględnić wymagane akcje AWS Logs API do publikowania logów, jest zbyt ogólna; konkretne uprawnienia CloudWatch Logs są niezbędne. Dodanie interfejsowego punktu końcowego VPC dla CloudWatch Logs jest niepotrzebne, ponieważ instancje mają dostęp do Internetu przez bramę NAT, co zapewnia łączność z usługami AWS. Problem dotyczy autoryzacji, a nie łączności sieciowej.