Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Inhaber-Token-Authentifizierung für Metriken einrichten

Bevor Sie Metriken mithilfe der Bearer-Token-Authentifizierung mit dem CloudWatch OTLP-Endpunkt senden können, müssen Sie:

Option 1: Schnellstart mit der AWS Konsole

Die AWS Management Console bietet einen optimierten Arbeitsablauf zum Generieren von API-Schlüsseln für den OTLP-Endpunktzugriff.

Die Konsole automatisch:

Option 2: Manuelle Einrichtung

Wenn Sie mehr Kontrolle über die IAM-Konfiguration bevorzugen oder die Berechtigungen anpassen müssen, können Sie den OTLP-Endpunktzugriff manuell einrichten.

Schritt 1: Erstellen Sie einen IAM-Benutzer

Erstellen Sie einen IAM-Benutzer für die Erfassung von Metriken:

Schritt 2: Generieren Sie dienstspezifische Anmeldeinformationen (API-Schlüssel)

Generieren Sie den CloudWatch Metrics-API-Schlüssel mithilfe der CreateServiceSpecificCredential API. Sie können auch den Befehl create-service-specific-credential AWS CLI verwenden. Für das Alter der Anmeldeinformationen können Sie einen Wert zwischen 1—36600 Tagen angeben. Wenn Sie kein Alter für die Anmeldeinformationen angeben, läuft der API-Schlüssel nicht ab.

Um einen API-Schlüssel mit einem Ablauf von 30 Tagen zu generieren:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

Die Antwort ist ein ServiceSpecificCredential Objekt. Der ServiceCredentialSecret Wert ist Ihr CloudWatch Metrics-API-Schlüssel (Bearer-Token).

Schritt 3: Metriken senden

Mit Ihrem Bearer-Token können Sie sofort Metriken an den OTLP-Endpunkt senden:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

Der Endpunkt akzeptiert sowohl Inhaltstypen als auch application/json application/x-protobuf Inhaltstypen.

Steuern Sie die Berechtigungen für die Generierung und Verwendung von CloudWatch Metrik-API-Schlüsseln

Steuerung der Generierung von CloudWatch Metrics-API-Schlüsseln

Die iam:CreateServiceSpecificCredential Aktion steuert die Generierung eines dienstspezifischen Schlüssels (z. B. eines CloudWatch Metrics-API-Schlüssels). Sie können diese Aktion auf IAM-Benutzer als Ressource beschränken, um die Anzahl der Benutzer einzuschränken, für die ein Schlüssel generiert werden kann.

Mit den folgenden Bedingungsschlüsseln können Sie Bedingungen mit der Berechtigung für die Aktion iam:CreateServiceSpecificCredential verknüpfen:

Steuerung der Verwendung von CloudWatch Metrics-API-Schlüsseln

Die cloudwatch:CallWithBearerToken Aktion steuert die Verwendung eines CloudWatch Metrics-API-Schlüssels. Um zu verhindern, dass eine Identität CloudWatch Metrics-API-Schlüssel verwendet, fügen Sie dem IAM-Benutzer, der dem Schlüssel zugeordnet ist, eine Richtlinie hinzu, die die cloudwatch:CallWithBearerToken Aktion verweigert.

Beispielrichtlinien

Verhindern Sie, dass eine Identität Metrics-API-Schlüssel generiert und verwendet CloudWatch:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Verhindern Sie, dass eine Identität CloudWatch Metrik-API-Schlüssel verwendet:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Erlauben Sie die Erstellung von CloudWatch Metrikschlüsseln nur, wenn diese innerhalb von 90 Tagen ablaufen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Verwendung von Inhaber-Token mit dem Collector OpenTelemetry

Wenn Sie Inhaber-Token verwenden, benötigen Sie die sigv4auth Erweiterung nicht. Verwenden Sie die Erweiterung bearertokenauth, um Ihren API-Schlüssel sicher aus einer Datei oder Umgebungsvariablen bereitzustellen:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Alternativ können Sie statt einer Datei auf eine Umgebungsvariable verweisen:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Rotierende API-Schlüssel

Das regelmäßige Rotieren Ihrer API-Schlüssel reduziert das Risiko eines unbefugten Zugriffs. Sie sollten empfehlen, einen Rotationsplan zu erstellen, der den Sicherheitsrichtlinien Ihres Unternehmens entspricht.

Rotationsprozess

Gehen Sie wie folgt vor, um einen API-Schlüssel zu rotieren, ohne die Bereitstellung der Metriken zu unterbrechen:

Den Ablauf des Schlüssels überwachen

Verwenden Sie den Befehl https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-service-specific-credentials.html list-service-specific-credentials, um das Erstellungsdatum und den Status Ihrer vorhandenen API-Schlüssel zu überprüfen:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

Die Antwort beinhaltet CreateDate und für jeden Berechtigungsnachweis. Status Verwenden Sie diese Informationen, um Schlüssel zu identifizieren, die bald ablaufen oder länger aktiv sind, als es Ihre Rotationsrichtlinie zulässt.

Reaktion auf einen kompromittierten API-Schlüssel

Wenn Sie den Verdacht haben, dass ein API-Schlüssel kompromittiert wurde, gehen Sie sofort wie folgt vor:

Sie können auch die folgenden IAM-API-Operationen verwenden, um kompromittierte Schlüssel zu verwalten:

Bewährte Sicherheitsmethoden für API-Schlüssel

Folgen Sie diesen bewährten Methoden, um Ihre CloudWatch Metrics-API-Schlüssel zu schützen:

Protokollierung der Verwendung des API-Schlüssels mit CloudTrail

Sie können es verwenden AWS CloudTrail , um Datenereignisse für die OTLP-Erfassung von CloudWatch Metriken zu protokollieren. CloudWatch sendet AWS::CloudWatch::Dataset Datenereignisse für Aufrufe an den OTLP-Endpunkt aus, sodass Sie die Aktivitäten zur Erfassung von Metriken einschließlich der Verwendung von API-Schlüsseln überwachen können.

Der readOnly: false Filter beschränkt die Protokollierung auf write operations (PutMetricData), was alle OTLP-Ingestion-Aufrufe einschließt. Um die Verwendung von Bearer-Token unter diesen Ereignissen zu ermitteln, fragen Sie Ihre Trail-Logs ab (über Athena oder CloudTrail Lake) und filtern Sie nach dem IAM-Benutzernamen, der Ihrem API-Schlüssel zugeordnet ist (z. B.). cloudwatch-metrics-api-key-user Ereignisse, die sich aus der OTLP-Erfassung ergeben, sind in der Nutzlast des Ereignisses enthaltenAdditionalEventData.protocol. Sie können diese OTLP in Post-hoc-Abfragen verwenden, um sie von klassischen SDK-Aufrufen zu unterscheiden. PutMetricData