Компания запускает свое приложение на Amazon Elastic Container Service (Amazon ECS), используя тип запуска AWS Fargate. Инженер по безопасности подозревает, что некоторые входящие запросы являются вредоносными, и ему необходимо проверить запущенный контейнер, чтобы получить файлы журналов и дампы памяти с минимальными операционными издержками. Какой подход соответствует этим требованиям?

Правильный ответ — предоставить роли задачи ECS разрешения AWS Systems Manager, включить ECS Exec для сервиса ECS и использовать ECS Exec для проверки запущенного контейнера. ECS Exec позволяет получить прямой доступ к запущенным контейнерам Fargate для выполнения команд, что идеально подходит для сбора логов и дампов памяти с минимальными операционными издержками, так как не требует изменения приложения или управления EC2-инстансами. Перенос приложения на тип запуска Amazon EC2 увеличивает операционные издержки, так как требует управления EC2-инстансами. Изменение приложения для записи в STDOUT и отправка в CloudWatch Logs поможет с логами, но не позволит получить дампы памяти или выполнять произвольные команды для проверки. Включение CloudWatch Container Insights и использование AWS Distro for OpenTelemetry предоставляет метрики и логи, но не прямой доступ к контейнеру для интерактивной отладки или сбора дампов памяти.