SCS-C03：AWS Certified Security - Specialty 検出（モニタリングとロギング） 問9
検出（モニタリングとロギング）／セキュリティ監視・ロギングのトラブルシューティングEC2 インスタンスに Amazon CloudWatch エージェントを導入しましたが、アプリケーションのログファイルが CloudWatch Logs に送信されません。原因の切り分けとして最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「検出（モニタリングとロギング）」に対応。実際の試験問題ではありません）
- Aエージェントの構成ファイルで対象ログファイルのパスが正しく指定されているか、およびインスタンスのロールに CloudWatch Logs への書き込み権限があるかを確認する
- BAWS CloudTrail を有効化すればアプリケーションログが送信される
- Cセキュリティグループで 80 番ポートを開放すればログが送信される
- Dインスタンスをより大きいタイプに変更すればログが送信される
正解：A
解説
CloudWatch エージェントがログを送信しない場合、まずエージェントの構成ファイルで収集対象のログファイルパスが正しく指定されているか、そしてインスタンスにアタッチされた IAM ロールに CloudWatch Logs への書き込み権限（logs:PutLogEvents 等）があるかを確認します。これらが典型的な原因です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。構成ファイルの対象ログパスと、インスタンスロールの CloudWatch Logs 書き込み権限を確認するのが定石です。
- B誤り。CloudTrail は API 監査が目的で、エージェントのアプリログ送信とは無関係です。
- C誤り。CloudWatch Logs への送信は HTTPS(443) の API 経由で、80 番ポートの開放は原因・対策になりません。
- D誤り。インスタンスタイプの大きさはログ送信の可否とは関係ありません。