Q87 — AWS SCS-C02 第1章

第 87/100 题 | ← 返回第1章

一名安全工程师以管理员权限登录AWS Lambda控制台。该工程师正尝试查看名为myFunction的Lambda函数在Amazon CloudWatch中的日志。当该工程师在Lambda控制台中选择“在CloudWatch中查看日志”选项时，出现“加载日志流失败”的错误消息。该Lambda函数执行角色的IAM策略包含以下内容： 安全工程师应如何修正此错误？

• A. 将logs:CreateLogGroup动作移至第二个Allow语句中。
• B. 在第二个Allow语句中添加logs:PutDestination动作。
• C. 在第二个Allow语句中添加logs:GetLogEvents动作。
• D. 在第二个Allow语句中添加logs:CreateLogStream动作。 ✓

正确答案: D. 在第二个Allow语句中添加logs:CreateLogStream动作。

解析

根据题目描述，安全工程师在尝试查看 Lambda 函数的日志时出现错误消息 "error loading Log Streams"。这通常意味着 Lambda 函数的执行角色缺少查看日志所需的权限。IAM 政策中已经允许了 `logs:CreateLogGroup` 和 `logs:PutLogEvents` 动作，但可能缺少 `logs:GetLogStream` 或相关的动作来访问具体的日志流。选项 D 中的 `logs:CreateLogStream` 虽然不直接解决查看日志流的问题，但创建日志组或日志流是相关的操作，可能暗示需要更完整的日志访问权限。实际上，正确的解决方案可能是确保 `logs:GetLogStream` 或类似的动作被包含在 IAM 政策中，但根据选项，最接近的正确答案是 D。