ap-northeast-2 區域中的新工作負載在三個 Amazon EC2 Auto Scaling 群組中執行。此區域中的所有工作負載都必須保留系統和應用程式日誌 7 年。一位安全工程師必須確保日誌在擴展期間不會遺失，並且僅在所需期間內保留。以下哪些步驟組合可以滿足這些要求？（請選擇三項。）

正確選項組合確保了日誌的收集、傳輸和長期保留。在所有 EC2 實例上安裝 CloudWatch 代理程式並配置其將日誌轉發到 CloudWatch Logs，可以自動收集系統和應用程式日誌，即使實例擴展或終止也不會丟失。將 CloudWatch Logs 的保留政策設定為 7 年，滿足了日誌保留的時長要求。為啟動組態或啟動範本附加具有發佈日誌到 CloudWatch Logs 權限的 IAM 角色，則賦予了 EC2 實例將日誌傳輸到 CloudWatch Logs 的必要權限。 將日誌直接上傳到 S3 並設定 S3 Lifecycle 政策雖然也能實現長期保留，但需要額外的日誌轉發應用程式和管理，不如 CloudWatch Logs 整合方便，且不符合題目中「轉發到 Amazon CloudWatch Logs」的暗示。