Bir Amazon EC2 Auto Scaling grubu, Amazon Linux örneklerini başlatır ve günlükleri Amazon CloudWatch Logs'a göndermek için Amazon CloudWatch aracısını kurar. Örnekler, şu anda özel metrikleri CloudWatch'a yayınlamaya izin veren bir ilkeye sahip bir IAM rolü üstlenir. Örnekler, bir NAT gateway aracılığıyla internet erişimi olan özel bir alt ağda çalışır. CloudWatch Logs aracısı çalışıyor ve doğru şekilde yapılandırılmış ve AWS'ye ağ bağlantısı doğrulanmış olmasına rağmen CloudWatch Logs'ta hiçbir günlük görünmüyor. Güvenlik mühendisi, günlüklerin yayınlandığından emin olmak için ne yapmalıdır?

Doğru cevap, örnek rolüne ekli IAM ilkesini gerekli CloudWatch Logs izinlerini içerecek şekilde güncellemektir. Mevcut IAM rolü yalnızca özel metrikleri yayınlama iznine sahip olduğundan, CloudWatch Logs'a günlük göndermek için logs:CreateLogGroup, logs:CreateLogStream ve logs:PutLogEvents gibi spesifik izinler gereklidir. Bu izinler olmadan, CloudWatch aracısı günlükleri başarıyla gönderemez. Diğer seçenekler yanlıştır çünkü: Amazon EC2 Auto Scaling hizmet bağlantılı rolünü değiştirmek, örneklerin CloudWatch Logs'a günlük gönderme yeteneğini etkilemez; bu rol Auto Scaling hizmetinin kendi eylemleri içindir. "Örnek rolüne ekli IAM ilkesini, günlükleri yayınlamak için gerekli AWS Logs API eylemlerini içerecek şekilde güncelleyin" seçeneği, doğru cevabın daha az spesifik bir tekrarıdır. Doğru cevap, gerekli eylemleri açıkça belirtir. CloudWatch Logs için bir interface VPC endpoint eklemek, özel alt ağdaki örneklerin CloudWatch Logs hizmetine özel olarak bağlanmasını sağlar, ancak örneklerin bu hizmete erişmek için uygun IAM izinlerine sahip olmaması durumunda günlük teslimini çözmez. Ağ bağlantısı zaten doğrulanmıştır.