SCS-C03：AWS Certified Security - Specialty 検出（モニタリングとロギング） 問4
検出（モニタリングとロギング）／セキュリティ監視・ロギングのトラブルシューティングある AWS Lambda 関数のログが Amazon CloudWatch Logs にまったく出力されません。関数自体は実行されています。原因の切り分けとして最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「検出（モニタリングとロギング）」に対応。実際の試験問題ではありません）
- ALambda はログを出力できない仕様なので、AWS CloudTrail で代替する
- BCloudWatch の料金プランをアップグレードする必要がある
- CVPC フローログを有効にすればアプリケーションログが出力される
- DLambda の実行ロールに、ロググループ／ログストリームの作成とログ出力の権限（logs:CreateLogGroup・logs:CreateLogStream・logs:PutLogEvents）が付与されているかを確認する
正解：D
解説
Lambda はログを CloudWatch Logs へ出力しますが、そのためには関数の実行ロールにロググループ／ログストリームの作成とログ出力の権限（logs:CreateLogGroup・logs:CreateLogStream・logs:PutLogEvents）が必要です。関数は動いているのにログが出ない場合、まずこの実行ロールの権限不足を疑うのが定石です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。Lambda は CloudWatch Logs へログを出力でき、CloudTrail は API 監査が目的で代替になりません。
- B誤り。CloudWatch にそのような料金プランのアップグレードは存在せず、原因ではありません。
- C誤り。VPC フローログはネットワークトラフィックの記録で、アプリケーションログの出力とは無関係です。
- D正しい。実行ロールのログ関連権限の有無を確認するのが、ログ未出力の切り分けとして適切です。