Компания имеет набор инстансов Amazon EC2 в одной частной подсети VPC без интернет-шлюза. Агент Amazon CloudWatch установлен на всех инстансах для сбора логов из определенного приложения. Чтобы сохранить трафик логов приватным, сетевая команда создала VPC-эндпоинты для CloudWatch (мониторинг) и CloudWatch Logs и присоединила их к VPC. Приложение генерирует логи, но они не появляются в CloudWatch. Какую комбинацию шагов должен предпринять инженер по безопасности для устранения этой проблемы? (Выберите три.)

Профиль инстанса EC2 должен иметь соответствующие разрешения IAM для отправки логов в CloudWatch Logs. Без разрешений на logs:CreateLogStream и logs:PutLogEvents агент не сможет публиковать данные. Файл конфигурации агента CloudWatch определяет, какие логи и откуда собирать; неправильная конфигурация приведет к тому, что логи не будут отправляться. Политики VPC-эндпоинтов контролируют доступ к сервисам AWS через эндпоинты; если инстансы EC2 не авторизованы, связь с CloudWatch будет заблокирована. Создание фильтра метрик не решает проблему отсутствия логов, а лишь их отображения. NAT gateway не требуется, так как используются VPC-эндпоинты для приватного доступа. Группы безопасности не должны разрешать инстансам взаимодействовать друг с другом для агрегации логов, так как агент CloudWatch отправляет логи напрямую.