Группа Amazon EC2 Auto Scaling запускает инстансы Amazon Linux и устанавливает агент Amazon CloudWatch для отправки логов в Amazon CloudWatch Logs. Инстансы используют роль IAM с политикой, которая в настоящее время разрешает публикацию пользовательских метрик в CloudWatch. Инстансы работают в частной подсети с доступом в интернет через NAT gateway. Агент CloudWatch Logs запущен и правильно настроен, сетевое подключение к AWS проверено, но логи не появляются в CloudWatch Logs. Что должен сделать инженер по безопасности, чтобы обеспечить публикацию логов?

Правильный ответ — обновить политику IAM, прикрепленную к роли инстанса, чтобы включить необходимые разрешения CloudWatch Logs. Хотя инстансы могут публиковать пользовательские метрики, отправка логов в CloudWatch Logs требует отдельных разрешений, таких как logs:CreateLogGroup, logs:CreateLogStream и logs:PutLogEvents. Без этих разрешений агент CloudWatch Logs не сможет взаимодействовать со службой CloudWatch Logs. Изменение связанной с сервисом роли Auto Scaling не поможет, так как эта роль используется Auto Scaling для управления инстансами, а не самими инстансами для отправки логов. Обновление политики IAM для включения "необходимых действий AWS Logs API" слишком расплывчато; конкретные действия API CloudWatch Logs необходимы. Добавление конечной точки VPC для CloudWatch Logs не является обязательным, поскольку инстансы имеют доступ в Интернет через NAT Gateway, что позволяет им взаимодействовать с публичными конечными точками AWS.