Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Überwachen Sie externe Schlüsselspeicher

AWS KMS sammelt Metriken für jede Interaktion mit einem externen Schlüsselspeicher und veröffentlicht sie in Ihrem CloudWatch Konto. Diese Metriken werden verwendet, um die Diagramme im Überwachungsabschnitt der Detailseite für jeden externen Schlüsselspeicher zu erstellen. Im folgenden Thema wird beschrieben, wie Sie die Diagramme verwenden, um Betriebs- und Konfigurationsprobleme zu identifizieren und zu beheben, die sich auf Ihren externen Schlüsselspeicher auswirken. Wir empfehlen, anhand der CloudWatch Metriken Alarme einzurichten, die Sie benachrichtigen, wenn Ihr externer Schlüsselspeicher nicht wie erwartet funktioniert. Weitere Informationen finden Sie unter Überwachung mit Amazon CloudWatch.

Anzeigen der Diagramme

Sie können die Diagramme auf verschiedenen Detailebenen anzeigen. Standardmäßig verwendet jedes Diagramm einen Zeitbereich von drei Stunden und einen Aggregationszeitraum von fünf Minuten. Sie können die Diagrammansicht innerhalb der Konsole anpassen, aber Ihre Änderungen werden auf die Standardeinstellungen zurückgesetzt, wenn die Detailseite des externen Schlüsselspeichers geschlossen oder der Browser aktualisiert wird. Hilfe zur CloudWatch Amazon-Terminologie finden Sie unter CloudWatch Amazon-Konzepte.

Anzeigen von Datenpunktdetails

Die Daten in jedem Diagramm werden von AWS KMS -Metriken gesammelt. Um weitere Informationen zu einem bestimmten Datenpunkt anzuzeigen, halten Sie die Maus auf den Datenpunkt im Liniendiagramm. Daraufhin wird ein Popup-Fenster mit weiteren Informationen zu der Metrik angezeigt, von der das Diagramm abgeleitet wurde. Jedes Listenelement zeigt den an diesem Datenpunkt aufgezeichneten Dimensionswert an. Das Pop-up zeigt einen Nullwert (–) an, wenn für den Dimensionswert an diesem Datenpunkt keine Metrikdaten verfügbar sind. Einige Diagramme zeichnen mehrere Dimensionen und Werte für einen einzelnen Datenpunkt auf. Andere Diagramme, wie das Zuverlässigkeitsdiagramm, verwenden die von der Metrik erfassten Daten, um einen eindeutigen Wert zu berechnen. Jedes Listenelement ist einer anderen Farbe des Liniendiagramms zugeordnet.

Ändern des Zeitbereichs

Zum Ändern des Zeitbereichs wählen Sie im Überwachungsbereich oben rechts einen der vordefinierten Zeitbereiche aus. Die vordefinierten Zeitbereiche reichen von 1 Stunde bis 1 Woche (1h, 3h, 12h, 1d, 3d oder 1w). Dadurch wird der Zeitbereich für alle Diagramme angepasst. Wenn Sie ein bestimmtes Diagramm in einem anderen Zeitraum anzeigen oder einen benutzerdefinierten Zeitraum festlegen möchten, vergrößern Sie das Diagramm oder zeigen Sie es in der CloudWatch Amazon-Konsole an.

Vergrößern von Diagrammen

Mit der Mini-Map-Zoomfunktion können Sie sich auf Abschnitte von Liniendiagrammen und gestapelte Teile der Diagramme konzentrieren, ohne zwischen vergrößerter und verkleinerter Ansicht zu wechseln. Sie können die Mini-Map-Zoomfunktion beispielsweise verwenden, um sich auf einen Spitzenwert in einem Diagramm zu konzentrieren, sodass Sie den Spitzenwert mit anderen Diagrammen im Überwachungsabschnitt auf derselben Zeitachse vergleichen können.

Vergrößern eines Diagramms

Wenn Sie ein Diagramm vergrößern möchten, wählen Sie darin das Menüsymbol oben rechts aus und wählen Sie dann Enlarge (Vergrößern). Sie können auch das Vergrößerungssymbol auswählen, das neben dem Menüsymbol angezeigt wird, wenn Sie den Mauszeiger über ein Diagramm bewegen.

Durch die Vergrößerung eines Diagramms können Sie die Ansicht eines Diagramms weiter verändern, indem Sie einen anderen Zeitraum, einen benutzerdefinierten Zeitbereich oder ein Aktualisierungsintervall angeben. Diese Änderungen werden auf die Standardeinstellungen zurückgesetzt, wenn Sie die vergrößerte Ansicht schließen.

Grafiken in der CloudWatch Amazon-Konsole anzeigen

Die Grafiken im Monitoring-Bereich werden aus vordefinierten Kennzahlen abgeleitet, die auf Amazon AWS KMS veröffentlicht CloudWatch werden. Sie können sie in der CloudWatch Konsole öffnen und in CloudWatch Dashboards speichern. Wenn Sie über mehrere externe Schlüsselspeicher verfügen, können Sie die jeweiligen Diagramme öffnen CloudWatch und sie in einem einzigen Dashboard speichern, um deren Zustand und Nutzung zu vergleichen.

Zum CloudWatch Dashboard hinzufügen

Wählen Sie in der oberen rechten Ecke Zum Dashboard hinzufügen aus, um alle Grafiken zu einem CloudWatch Amazon-Dashboard hinzuzufügen. Sie können entweder ein vorhandenes Dashboard auswählen oder ein neues erstellen. Informationen zur Verwendung dieses Dashboards zur Erstellung benutzerdefinierter Ansichten der Grafiken und Alarme finden Sie unter Verwenden von CloudWatch Amazon-Dashboards im CloudWatch Amazon-Benutzerhandbuch.

In Metriken CloudWatch anzeigen

Wählen Sie das Menüsymbol in der oberen rechten Ecke eines einzelnen Diagramms aus und wählen Sie In Kennzahlen anzeigen, um dieses Diagramm in der CloudWatch Amazon-Konsole anzuzeigen. Von der CloudWatch Konsole aus können Sie dieses einzelne Diagramm zu einem Dashboard hinzufügen und Zeitbereiche, Zeiträume und Aktualisierungsintervalle ändern. Weitere Informationen finden Sie unter Metriken grafisch darstellen im CloudWatch Amazon-Benutzerhandbuch.

Interpretieren der Diagramme

AWS KMS bietet mehrere Grafiken zur Überwachung des Zustands Ihres externen Schlüsselspeichers in der AWS KMS Konsole. Diese Diagramme werden automatisch konfiguriert und von AWS KMS -Metriken abgeleitet.

Die Diagrammdaten werden als Teil der Aufrufe gesammelt, die Sie an Ihren externen Schlüsselspeicher und Ihre externen Schlüssel richten. Möglicherweise werden während eines Zeitraums, in dem Sie keine Anrufe getätigt haben, Daten in den Diagrammen angezeigt. Diese Daten stammen aus den regelmäßigen GetHealthStatus Aufrufen, die in Ihrem Namen getätigt werden, AWS KMS um den Status Ihres externen Schlüsselspeicher-Proxys und Ihres externen Schlüsselmanagers zu überprüfen. Wenn Ihre Diagramme die Meldung No data available (Keine Daten verfügbar) anzeigen, wurden in diesem Zeitraum keine Anrufe aufgezeichnet oder Ihr externer Schlüsselspeicher befindet sich im Status DISCONNECTED. Möglicherweise können Sie den Zeitpunkt der Trennung Ihres externen Schlüsselspeichers ermitteln, indem Sie Ihre Ansicht auf einen breiteren Zeitbereich einstellen.

Anfragen insgesamt

Die Gesamtzahl der AWS KMS Anfragen, die in einem bestimmten Zeitraum für einen bestimmten externen Schlüsselspeicher eingegangen sind. Anhand dieses Diagramms können Sie feststellen, ob das Risiko einer Drosselung besteht.

AWS KMS empfiehlt, dass Ihr externer Schlüsselmanager bis zu 1800 Anfragen für kryptografische Operationen pro Sekunde verarbeiten kann. Wenn Sie innerhalb von fünf Minuten 540 000 Aufrufe erreichen, besteht das Risiko einer Drosselung.

Sie können die Anzahl der Anfragen für kryptografische Operationen mit KMS Schlüsseln in Ihrem externen Schlüsselspeicher überwachen, die mit der Metrik AWS KMS gedrosselt werden. ExternalKeyStoreThrottle

Wenn Sie sehr häufig KMSInvalidStateException-Fehler mit einer Meldung erhalten, in der erklärt wird, dass die Anforderung „aufgrund einer sehr hohen Anforderungsrate“ abgelehnt wurde, könnte dies darauf hinweisen, dass Ihr externer Schlüsselmanager oder externer Schlüsselspeicher-Proxy mit der aktuellen Anforderungsrate nicht Schritt halten kann. Verringen Sie wenn möglich Ihre Anforderungsrate. Sie können auch eine Verringerung des Anforderungskontingentwerts für benutzerdefinierte Schlüsselspeicher anfordern. Eine Verringerung dieses Kontingentwerts kann die Drosselung erhöhen, bedeutet aber, dass AWS KMS überschüssige Anfragen schnell zurückgewiesen werden, bevor sie an Ihren externen Schlüsselspeicher-Proxy oder externen Schlüsselmanager gesendet werden. Um eine Reduzierung des Kontingents zu beantragen, besuchen Sie bitte das AWS Support Center und erstellen Sie einen Fall.

Das Diagramm für die gesamten Anforderungen wird von der XksProxyErrors-Metrik abgeleitet, die Daten über die erfolgreichen und nicht erfolgreichen Antworten erfasst, die AWS KMS von Ihrem externen Schlüsselspeicher-Proxy erhält. Wenn Sie sich einen bestimmten Datenpunkt ansehen, zeigt das Pop-up den Wert der CustomKeyStoreId Dimension zusammen mit der Gesamtzahl der an diesem Datenpunkt aufgezeichneten AWS KMS Anfragen an. Die CustomKeyStoreId bleibt immer gleich.

Zuverlässigkeit

Der Prozentsatz der AWS KMS Anfragen, bei denen der externe Schlüsselspeicher-Proxy entweder eine erfolgreiche Antwort oder einen Fehler, der nicht erneut versucht werden konnte, zurückgegeben hat. Bewerten Sie anhand dieses Diagramms den Betriebszustand Ihres externen Schlüsselspeicher-Proxys.

Wenn das Diagramm einen Wert von weniger als 100 % anzeigt, weist dies auf Fälle hin, in denen der Proxy entweder nicht oder mit einem wiederholbaren Fehler geantwortet hat. Dies kann auf Probleme mit dem Netzwerk, Langsamkeit des externen Schlüsselspeicher-Proxys oder des externen Schlüsselmanagers oder auf Implementierungsfehler hindeuten.

Wenn die Anfrage fehlerhafte Anmeldeinformationen enthält und Ihr Proxy mit einer antwortetAuthenticationFailedException, zeigt das Diagramm dennoch eine hundertprozentige Zuverlässigkeit an, da der Proxy einen falschen Wert in der APIProxyanforderung für den externen Schlüsselspeicher identifiziert hat und der Fehler daher zu erwarten ist. Wenn der Prozentsatz Ihres Zuverlässigkeitsdiagramms 100 % beträgt, reagiert Ihr externer Schlüsselspeicher-Proxy wie erwartet. Wenn das Diagramm einen Wert von weniger als 100 % anzeigt, hat der Proxy entweder mit einem wiederholbaren Fehler geantwortet oder eine Zeitüberschreitung verursacht. Wenn der Proxy beispielsweise aufgrund einer sehr hohen Anzahl von Anforderungen mit einer ThrottlingException antwortet, wird ein niedrigerer Zuverlässigkeitsgrad angezeigt, da der Proxy nicht in der Lage war, ein spezifisches Problem in der Anforderung zu identifizieren, das zum Fehlschlagen führte. Dies liegt daran, dass es sich bei wiederholbaren Fehlern wahrscheinlich um vorübergehende Probleme handelt, die durch einen erneuten Versuch der Anforderung behoben werden können.

Die folgenden Fehlerantworten senken den Zuverlässigkeitsgrad. Mit dem Diagramm 5 häufigste Ausnahmen und der Metrik XksProxyErrors können Sie weiter überwachen, wie häufig Ihr Proxy jeden wiederholbaren Fehler zurückgibt.

Das Zuverlässigkeitsdiagramm wird aus der XksProxyErrors Metrik abgeleitet, die Daten sowohl zu den erfolgreichen als auch zu den erfolglosen Antworten sammelt, die Sie AWS KMS von Ihrem externen Schlüsselspeicher-Proxy erhalten. Der Zuverlässigkeitsprozentsatz sinkt nur, wenn die Antwort den ErrorType-Wert Retryable hat. Wenn Sie sich einen bestimmten Datenpunkt ansehen, zeigt das Pop-up den Wert der CustomKeyStoreId Dimension zusammen mit dem Zuverlässigkeitsprozentsatz für AWS KMS Anfragen an, die an diesem Datenpunkt aufgezeichnet wurden. Die CustomKeyStoreId bleibt immer gleich.

Wir empfehlen, die XksProxyErrors Metrik zu verwenden, um einen CloudWatch Alarm zu erstellen, der Sie über potenzielle Netzwerkprobleme informiert, indem er Sie benachrichtigt, wenn innerhalb einer Minute mehr als fünf wiederholbare Fehler aufgezeichnet werden. Weitere Informationen finden Sie unter Erstellen Sie einen Alarm für Fehler, die wiederholt werden können.

Latency

Die Anzahl der Millisekunden, die ein externer Schlüsselspeicher-Proxy benötigt, um auf eine Anfrage zu antworten. AWS KMS Verwenden Sie dieses Diagramm, um die Leistung Ihres externen Schlüsselspeicher-Proxys und externen Schlüsselmanagers zu bewerten.

AWS KMS erwartet, dass der externe Schlüsselspeicher-Proxy auf jede Anfrage innerhalb von 250 Millisekunden reagiert. Im Falle von Netzwerk-Timeouts AWS KMS wird die Anfrage einmal wiederholt. Wenn der Proxy ein zweites Mal fehlschlägt, entspricht die aufgezeichnete Latenz der kombinierten Timeout-Grenze für beide Anforderungen und das Diagramm zeigt etwa 500 Millisekunden an. In allen anderen Fällen, in denen der Proxy nicht innerhalb der Timeout-Grenze von 250 Millisekunden antwortet, beträgt die aufgezeichnete Latenzzeit 250 Millisekunden. Wenn der Proxy bei Verschlüsselungs- und Entschlüsselungsvorgängen häufig eine Zeitüberschreitung aufweist, wenden Sie sich an Ihren externen Proxy-Administrator. Hilfe zur Behebung von Latenzproblemen finden Sie unter Latenz- und Zeitüberschreitungsfehler.

Langsame Antworten können auch darauf hindeuten, dass Ihr externer Schlüsselmanager den aktuellen Anforderungsverkehr nicht bewältigen kann. AWS KMS empfiehlt, dass Ihr externer Schlüsselmanager bis zu 1800 Anfragen für kryptografische Operationen pro Sekunde verarbeiten kann. Wenn Ihr externer Schlüsselmanager die Rate von 1800 Anfragen pro Sekunde nicht verarbeiten kann, sollten Sie erwägen, eine Verringerung Ihres Anforderungskontingents für KMS Schlüssel in einem benutzerdefinierten Schlüsselspeicher zu beantragen. Anfragen für kryptografische Operationen, bei denen die KMS Schlüssel in Ihrem externen Schlüsselspeicher verwendet werden, schlagen mit einer Drosselungsausnahme schnell fehl, anstatt von Ihrem externen Schlüsselspeicher-Proxy oder externen Schlüsselmanager verarbeitet und später abgelehnt zu werden.

Das Latenzdiagramm wird von der XksProxyLatency-Metrik abgeleitet. Wenn Sie einen bestimmten Datenpunkt anzeigen, zeigt das Popup-Fenster die entsprechenden Werte der Dimensionen KmsOperation und XksOperation sowie die durchschnittliche Latenz an, die für die Vorgänge an diesem Datenpunkt aufgezeichnet wurde. Die Listenelemente sind von der höchsten zur niedrigsten Latenz sortiert.

Wir empfehlen, mithilfe der XksProxyLatency Metrik einen CloudWatch Alarm auszulösen, der Sie benachrichtigt, wenn sich Ihre Latenz dem Timeout-Limit nähert. Weitere Informationen finden Sie unter Erstellen Sie einen Alarm für das Antwort-Timeout.

5 häufigste Ausnahmen

Die fünf häufigsten Ausnahmen für fehlgeschlagene kryptografische und verwaltungstechnische Vorgänge innerhalb eines bestimmten Zeitraums. Verwenden Sie dieses Diagramm, um die häufigsten Fehler zu verfolgen, sodass Sie Ihre Entwicklungsarbeit nach Prioritäten ordnen können.

Diese Anzahl umfasst Ausnahmen, die vom externen Schlüsselspeicher-Proxy AWS KMS empfangen wurden, und AusnahmenXksProxyUnreachableException, die intern AWS KMS zurückgegeben werden, wenn keine Kommunikation mit dem externen Schlüsselspeicher-Proxy hergestellt werden kann.

Hohe Raten wiederholbarer Fehler können auf Netzwerkfehler hinweisen, während hohe Raten nicht wiederholbarer Fehler auf ein Problem mit der Konfiguration Ihres externen Schlüsselspeichers hinweisen können. Ein Anstieg AuthenticationFailedExceptions deutet beispielsweise auf eine Diskrepanz zwischen den im konfigurierten Authentifizierungsdaten AWS KMS und dem externen Schlüsselspeicher-Proxy hin. Informationen zur Konfiguration Ihres externen Schlüsselspeichers finden Sie unter Externe Schlüsselspeicher anzeigen. Informationen zum Bearbeiten der Einstellungen Ihres externen Schlüsselspeichers finden Sie unter Eigenschaften des externen Schlüsselspeichers bearbeiten.

Die Ausnahmen, die vom externen Schlüsselspeicher-Proxy AWS KMS empfangen werden, unterscheiden sich von den Ausnahmen, die AWS KMS zurückgegeben werden, wenn ein Vorgang fehlschlägt. AWS KMS Bei kryptografischen Vorgängen wird ein KMSInvalidStateException für alle Fehler zurückgegeben, die mit der externen Konfiguration oder dem Verbindungsstatus des externen Schlüsselspeichers zusammenhängen. Identifizieren Sie das Problem anhand des zugehörigen Fehlermeldungstexts.

In der folgenden Tabelle sind die Ausnahmen aufgeführt, die im Diagramm mit den fünf häufigsten Ausnahmen angezeigt werden können, sowie die entsprechenden Ausnahmen, die AWS KMS Ihnen angezeigt werden.

Das Diagramm mit den fünf wichtigsten Ausnahmen wird von der XksProxyErrors-Metrik abgeleitet. Wenn Sie einen bestimmten Datenpunkt anzeigen, zeigt das Popup-Fenster den Wert der Dimension ExceptionName zusammen mit der Anzahl, wie oft die Ausnahme an diesem Datenpunkt aufgezeichnet wurde. Die fünf Elemente der Liste sind in der Reihenfolge der häufigsten Ausnahme bis zur geringsten geordnet.

Wir empfehlen, die XksProxyErrors Metrik zu verwenden, um einen CloudWatch Alarm zu erstellen, der Sie über potenzielle Konfigurationsprobleme informiert, indem er Sie benachrichtigt, wenn innerhalb einer Minute mehr als fünf Fehler aufgezeichnet werden, die nicht erneut versucht werden können. Weitere Informationen finden Sie unter Erstellen Sie einen Alarm für Fehler, die nicht wiederholt werden können.

Gültigkeitsdauer des Zertifikats in Tagen

Die Anzahl der Tage, bis das TLS Zertifikat für Ihren externen Schlüsselspeicher-Proxyendpunkt () abläuft. XksProxyUriEndpoint Verwenden Sie dieses Diagramm, um den bevorstehenden Ablauf Ihres TLS Zertifikats zu überwachen.

Wenn das Zertifikat abläuft, AWS KMS kann nicht mit dem externen Schlüsselspeicher-Proxy kommuniziert werden. Auf alle Daten, die durch KMS Schlüssel in Ihrem externen Schlüsselspeicher geschützt sind, kann erst zugegriffen werden, wenn Sie das Zertifikat erneuern.

Das Diagramm mit der Gültigkeitsdauer des Zertifikats in Tagen wird von der XksProxyCertificateDaysToExpire-Metrik abgeleitet. Wir empfehlen dringend, diese Metrik zu verwenden, um einen CloudWatch Alarm auszulösen, der Sie über den bevorstehenden Ablauf informiert. Der Ablauf des Zertifikats kann den Zugriff auf Ihre verschlüsselten Ressourcen verhindern. Stellen Sie den Alarm so ein, dass Ihre Organisation Zeit hat, das Zertifikat zu erneuern, bevor es abläuft. Weitere Informationen finden Sie unter Erstellen Sie einen Alarm für den Ablauf des Zertifikats.