Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de l'authentification par jeton au porteur pour Metrics

Avant de pouvoir envoyer des métriques à l'aide de l'authentification par jeton au porteur avec le point de terminaison CloudWatch OTLP, vous devez :

Option 1 : Démarrage rapide à l'aide du AWS console

La console AWS de gestion fournit un flux de travail rationalisé pour générer des clés d'API pour l'accès aux terminaux OTLP.

La console automatiquement :

Option 2 : configuration manuelle

Si vous préférez mieux contrôler la configuration IAM ou si vous avez besoin de personnaliser les autorisations, vous pouvez configurer manuellement l'accès au point de terminaison OTLP.

Étape 1 : Création d'un utilisateur IAM

Créez un utilisateur IAM pour l'ingestion de métriques :

Étape 2 : générer des informations d'identification spécifiques au service (clé API)

Générez la clé d'API CloudWatch Metrics à l'aide de l'CreateServiceSpecificCredentialAPI. Vous pouvez également utiliser la commande create-service-specific-credentials AWS CLI . Pour l'âge d'identification, vous pouvez spécifier une valeur comprise entre 1 et 36 600 jours. Si vous ne spécifiez pas d'âge pour les informations d'identification, la clé API n'expirera pas.

Pour générer une clé API dont l'expiration est de 30 jours :

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

La réponse est un ServiceSpecificCredential objet. La ServiceCredentialSecret valeur est votre clé d'API CloudWatch Metrics (jeton porteur).

Étape 3 : Envoyer des métriques

Vous pouvez envoyer immédiatement des métriques au point de terminaison OTLP à l'aide de votre jeton porteur :

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

Le point de terminaison accepte application/json les deux types de application/x-protobuf contenu.

Contrôlez les autorisations pour la génération et l'utilisation CloudWatch des clés d'API Metrics

Contrôler la génération des clés d'API CloudWatch Metrics

L'iam:CreateServiceSpecificCredentialaction contrôle la génération d'une clé spécifique au service (telle qu'une clé d'API CloudWatch Metrics). Vous pouvez étendre cette action aux utilisateurs IAM en tant que ressource afin de limiter le nombre d’utilisateurs pour lesquels une clé peut être générée.

Vous pouvez utilisez les clés de condition suivantes pour imposer des conditions à l’autorisation pour l’action iam:CreateServiceSpecificCredential :

Contrôle de l'utilisation des clés d'API CloudWatch Metrics

L'cloudwatch:CallWithBearerTokenaction contrôle l'utilisation d'une clé d'API CloudWatch Metrics. Pour empêcher une identité d'utiliser CloudWatch les clés d'API Metrics, associez une politique qui refuse l'cloudwatch:CallWithBearerTokenaction à l'utilisateur IAM associé à la clé.

Exemples de politiques

Empêcher une identité de générer et d'utiliser CloudWatch des clés d'API Metrics :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Empêcher une identité d'utiliser CloudWatch les clés d'API Metrics :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Autorisez la création de clés CloudWatch Metrics uniquement si elles expirent dans les 90 jours :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Utiliser des jetons au porteur avec le Collectionneur OpenTelemetry

Lorsque vous utilisez des jetons au porteur, vous n'avez pas besoin de l'sigv4authextension. Utilisez l'extension bearertokenauth pour fournir en toute sécurité votre clé API à partir d'un fichier ou d'une variable d'environnement :

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Vous pouvez également référencer une variable d'environnement au lieu d'un fichier :

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Rotation des clés d'API

La rotation régulière de vos clés API réduit le risque d'accès non autorisé. Vous devriez recommander d'établir un calendrier de rotation conforme aux politiques de sécurité de votre organisation.

Processus de rotation

Pour alterner une clé API sans interrompre la livraison des métriques, procédez comme suit :

Surveillance de l'expiration des clés

Pour vérifier la date de création et l'état de vos clés d'API existantes, utilisez la commande list-service-specific-credentials  :

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

La réponse inclut CreateDate et Status pour chaque justificatif d'identité. Utilisez ces informations pour identifier les clés qui arrivent à expiration ou qui sont actives depuis plus longtemps que ne le permet votre politique de rotation.

Réagir à une clé d'API compromise

Si vous pensez qu'une clé d'API a été compromise, prenez immédiatement les mesures suivantes :

Vous pouvez également utiliser les opérations d'API IAM suivantes pour gérer les clés compromises :

Meilleures pratiques en matière de sécurité pour les clés d'API

Suivez ces bonnes pratiques pour protéger vos clés d'API CloudWatch Metrics :

Enregistrement de l'utilisation de la clé API avec CloudTrail

Vous pouvez l'utiliser AWS CloudTrail pour enregistrer les événements de données pour l'ingestion de CloudWatch Metrics OTLP. CloudWatch émet AWS::CloudWatch::Dataset des événements de données pour les appels vers le point de terminaison OTLP, ce qui vous permet d'auditer l'activité d'ingestion de métriques, y compris l'utilisation des clés API.

Le readOnly: false filtre limite la journalisation aux opérations d'écriture (PutMetricData), qui inclut tous les appels d'ingestion OTLP. Pour identifier l'utilisation du jeton du porteur parmi ces événements, interrogez vos journaux de suivi (via Athena ou CloudTrail Lake) et filtrez en fonction du nom d'utilisateur IAM associé à votre clé API (par exemple). cloudwatch-metrics-api-key-user Les événements issus de l'ingestion d'OTLP incluent la valeur AdditionalEventData.protocol définie OTLP dans la charge utile de l'événement, que vous pouvez utiliser dans des requêtes post-hoc pour les distinguer des appels SDK classiques PutMetricData .