Inżynier bezpieczeństwa z uprawnieniami administratora loguje się do konsoli AWS Lambda i próbuje wyświetlić logi Amazon CloudWatch dla funkcji o nazwie myFunction. Po wybraniu opcji w konsoli Lambda, aby wyświetlić logi w CloudWatch, pojawia się komunikat „error loading Log Streams”. Rola wykonawcza funkcji Lambda ma następujące instrukcje polityki IAM. W jaki sposób inżynier bezpieczeństwa powinien rozwiązać ten błąd?

Poprawna odpowiedź to dodanie akcji logs:CreateLogStream do drugiej instrukcji Allow. Błąd „error loading Log Streams” wskazuje, że inżynier bezpieczeństwa nie ma uprawnień do tworzenia strumieni logów w Amazon CloudWatch Logs dla funkcji Lambda. Chociaż istnieją uprawnienia do tworzenia grup logów (logs:CreateLogGroup) i umieszczania zdarzeń logów (logs:PutLogEvents), brakuje kluczowego uprawnienia do tworzenia samych strumieni logów, które są niezbędne do wyświetlania logów. Przeniesienie logs:CreateLogGroup do drugiej instrukcji Allow nie rozwiąże problemu, ponieważ to uprawnienie już istnieje i nie jest przyczyną błędu. Dodanie logs:PutDestination jest nieistotne, ponieważ dotyczy subskrypcji logów, a nie ich wyświetlania. Dodanie logs:GetLogEvents jest potrzebne do odczytu logów, ale najpierw muszą istnieć strumienie logów, aby można było je odczytać.