Yönetici izinlerine sahip bir güvenlik mühendisi AWS Lambda konsolunda oturum açar ve myFunction adlı bir işlev için Amazon CloudWatch günlüklerini görüntülemeye çalışır. Lambda konsolunda CloudWatch'ta günlükleri görüntüleme seçeneğini seçtiğinde, "Log Streams yüklenirken hata oluştu" mesajı görünür. Lambda işlevinin yürütme rolü aşağıdaki IAM ilke deyimlerine sahiptir. Güvenlik mühendisi hatayı nasıl çözmelidir?

Güvenlik mühendisi, Lambda konsolunda CloudWatch günlüklerini görüntülerken "Log Streams yüklenirken hata oluştu" mesajını alıyor çünkü Lambda işlevinin yürütme rolü, günlük akışları oluşturma iznine sahip değil. CloudWatch'ta günlükleri görüntüleyebilmek için logs:CreateLogStream izni gereklidir. Bu izin, Lambda işlevinin CloudWatch günlük grubu içinde yeni bir günlük akışı oluşturmasına olanak tanır. Mevcut politika yalnızca logs:CreateLogGroup ve logs:PutLogEvents izinlerini içeriyor, bu da günlük grubu oluşturmaya ve olayları göndermeye yeterli olsa da, günlük akışlarını görüntülemek için gerekli olan akış oluşturma iznini sağlamaz. Diğer seçenekler neden yanlış: logs:CreateLogGroup eylemini taşımak, zaten var olan bir izni sadece yerini değiştirecektir ve eksik olan CreateLogStream iznini sağlamayacaktır. logs:PutDestination eylemi, günlükleri bir hedefe (örneğin Kinesis) göndermek için kullanılır ve günlükleri görüntüleme hatasını çözmez. logs:GetLogEvents eylemi, mevcut günlük olaylarını almak için kullanılır ancak günlük akışının oluşturulmasıyla ilgili hatayı çözmez. Akış zaten oluşturulmuş olsaydı bu izin faydalı olurdu, ancak sorun akışın oluşturulamamasıdır.