Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité des CloudWatch enquêtes

Cette section inclut des rubriques sur la manière dont CloudWatch les enquêtes s'intègrent aux fonctionnalités AWS de sécurité et d'autorisations.

CloudWatch Investigations, autorisations, conservation et chiffrement par défaut

Lorsque vous exécutez des enquêtes à l'aide des paramètres par défaut sans configuration supplémentaire dans votre compte, l'investigation utilise les autorisations disponibles pour votre session de console actuelle et n'accède aux données de télémétrie qu'à l'aide de ces autorisations. Read-only Aucune configuration de rôle IAM ou de politique d’autorisation n’est nécessaire pour le groupe d’enquête. Cependant, cela signifie que l’accès de l’enquête aux données est limité par les autorisations de l’utilisateur connecté.

Cette enquête n’est disponible que pour le même utilisateur qui a lancé l’enquête. L’enquête ne peut être consultée que pendant une période de 24 heures, après quoi elle est supprimée sans qu’aucune option de restauration ne soit disponible.

Les données d'enquête sont cryptées au repos à l'aide d' AWS une clé propre. Vous ne pouvez ni consulter ni gérer les clés AWS détenues, et vous ne pouvez pas les utiliser à d'autres fins ni auditer leur utilisation. Cependant, aucune action ou configuration supplémentaire n’est requise pour utiliser ces clés. Pour plus d’informations, consultez Clés KMS AWS.

Autorisations utilisateur pour votre groupe CloudWatch d'investigation

AWS a créé trois politiques IAM gérées que vous pouvez utiliser pour vos utilisateurs qui travailleront avec votre groupe d' CloudWatch investigation.

Nous vous recommandons d'utiliser trois principaux IAM, en attribuant la politique AIOpsConsoleAdminPolicy IAM à l'un d'eux, à un autre et en accordant la AIOpsOperatorAccess politique au troisième. AIOpsReadOnlyAccess Ces principaux peuvent être des rôles IAM (recommandé) ou des utilisateurs IAM. Ensuite, vos utilisateurs qui travaillent sur les CloudWatch enquêtes se connecteront en utilisant l'un de ces principes.

Autorisations pour la génération de rapports d'incidents

La génération de rapports d'incidents nécessite des autorisations supplémentaires pour permettre à l'IA de collecter des événements et des faits, puis de créer des rapports.

Les utilisateurs AIOpsConsoleAdminPolicy peuvent générer, modifier et copier des rapports d'incidents. Par défaut, votre groupe d'investigation se voit AIOpsAssistantPolicy attribuer le droit d'accéder à la ressource. Cependant, il ne dispose pas des autorisations nécessaires pour générer un rapport d'enquête. Pour autoriser votre groupe d'investigation à rassembler les données d'enquête dans un rapport d'incident, vous devez ajouter une politique similaire à l'exemple suivant qui inclut des autorisations supplémentaires ou ajouter les actions supplémentaires en tant que stratégie en ligne au groupe :

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "IncidentReportOperations",
            "Effect": "Allow",
            "Action": [
                "aiops:GetInvestigation",
                "aiops:ListInvestigationEvents",
                "aiops:GetInvestigationEvent",

                "aiops:CreateReport",
                "aiops:UpdateReport", 
                "aiops:GetReport",

                "aiops:PutFact",
                "aiops:ListFacts",
                "aiops:GetFact",
                "aiops:GetFactVersions"
            ],
            "Resource": [
                "arn:aws:aiops:*:*:investigation-group/*"
            ]
        }
    ]
}

La nouvelle politique gérée AIOpsAssistantIncidentReportPolicy fournit les autorisations requises et est automatiquement ajoutée aux groupes d'investigation créés après le 10 octobre 2025. Pour de plus amples informations, veuillez consulter AIOpsAssistantIncidentReportPolicy.

Autorisations supplémentaires pour Database Insights

Pour utiliser les fonctionnalités de Database Insights pendant les enquêtes, vous devez associer la politique AmazonRDSPerformanceInsightsFullAccess gérée au rôle ou à l'utilisateur IAM que vous utilisez pour effectuer les enquêtes. CloudWatch investigations nécessite ces autorisations pour créer et accéder à des rapports d'analyse des performances pour vos instances de base de données Amazon RDS.

Pour attacher cette politique, utilisez la console IAM pour ajouter la politique gérée AmazonRDSPerformanceInsightsFullAccess à votre principal d’enquête. Pour plus d'informations sur cette politique gérée et ses autorisations, consultez AmazonRDSPerformanceInsightsFullAccess.

Comment contrôler les données auxquelles les CloudWatch enquêtes ont accès pendant les enquêtes

Lorsque vous configurez un groupe d'investigation dans votre compte, vous spécifiez les autorisations dont disposent les CloudWatch enquêtes pour accéder à vos ressources pendant les enquêtes. Pour ce faire, attribuez un rôle IAM au groupe d’enquête.

Pour permettre aux CloudWatch enquêtes d'accéder aux ressources et de formuler des suggestions et des hypothèses, la méthode recommandée consiste à attribuer le rôle AIOpsAssistantPolicy au groupe d'investigation. Cela donne au groupe d'enquête les autorisations nécessaires pour analyser vos AWS ressources au cours de vos enquêtes. Pour plus d’informations sur le contenu complet de cette politique, consultez AIOpsAssistantPolicy.

Vous pouvez également choisir d'associer le rôle général AWS ReadOnlyAccess au rôle du groupe d'enquête, en plus de l'associer AIOpsAssistantPolicy. La raison en est que les AWS mises à jour sont ReadOnlyAccess plus fréquentes avec des autorisations pour les nouveaux AWS services et actions publiés. Ils AIOpsAssistantPolicy seront également mis à jour pour les nouvelles actions, mais moins fréquemment.

Si vous souhaitez limiter les autorisations accordées aux CloudWatch enquêtes, vous pouvez associer une stratégie IAM personnalisée au rôle IAM du groupe d'enquêtes au lieu de joindre la AIOpsAssistantPolicy stratégie. Pour ce faire, commencez votre politique personnalisée avec le contenu des enquêtes, AIOpsAssistantPolicy puis supprimez les autorisations que vous ne souhaitez pas accorder aux CloudWatch enquêtes. Cela empêchera les CloudWatch enquêtes de faire des suggestions sur la base AWS des services ou des actions auxquels vous n'accordez pas l'accès.

Permettre aux CloudWatch enquêtes de déchiffrer les données cryptées pendant les enquêtes

Si vous chiffrez vos données dans l'un des services suivants à l'aide d'une clé gérée par le client et que vous souhaitez que les CloudWatch investigations puissent déchiffrer les données de ces services et les inclure dans les enquêtes, vous devez associer une ou plusieurs politiques IAM supplémentaires au rôle IAM du groupe d'investigation. AWS KMS

La déclaration de politique doit inclure une clé contextuelles de chiffrement afin de restreindre la portée des autorisations. Par exemple, la politique suivante permettrait aux CloudWatch enquêtes de déchiffrer les données d'une machine à états Step Functions.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
        {
            "Sid": "AIOPSKMSAccessForStepFunctions",
            "Effect": "Allow",
            "Principal": {
                "Service": "aiops.amazonaws.com"
            },
            "Action":
            [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                     "kms:ViaService": "states.*.amazonaws.com",
                     "kms:EncryptionContext:aws:states:stateMachineArn": "arn:aws:states:region:accountId:stateMachine:*"
                }
            }
        }
    ]
}

Pour plus d'informations sur ces types de politiques et l'utilisation de ces clés contextuelles, consultez kms : EncryptionContext : ViaService context-key dans le Guide du AWS Key Management Service développeur, et aws : SourceArn dans le Guide de l'utilisateur IAM.

Chiffrement des données d’enquête

Pour le chiffrement de vos données d'enquête, AWS propose deux options :

Les rapports d'incidents générés à partir des enquêtes utilisent les mêmes paramètres de cryptage que l'enquête principale. Cela permet de maintenir une posture de sécurité cohérente dans l'ensemble de vos données d'enquête et de votre documentation.

Pour plus d'informations sur AWS KMS, consultez AWS Key Management Service.

Utilisation d’une clé gérée par le client pour votre groupe d’enquête

Vous pouvez associer un groupe d’enquête à une clé gérée par le client. Toutes les enquêtes créées dans ce groupe utiliseront alors cette clé pour chiffrer les données d’enquête au repos.

CloudWatch L'utilisation de la clé gérée par le client pour les enquêtes est soumise aux conditions suivantes :

Configuration d'enquêtes à l'aide d'un AWS KMS clé gérée par le client

Tout d’abord, si vous ne disposez pas encore d’une clé de chiffrement symétrique que vous souhaitez utiliser, créez-en une nouvelle à l’aide de la commande suivante.

aws kms create-key

Le résultat de la commande inclura l’ID de la clé et son Amazon Resource Name (ARN). Vous aurez besoin de ces informations dans les étapes suivantes. Voici un exemple de résultat.

{
"KeyMetadata": {
"Origin": "AWS_KMS",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Description": "",
        "KeyManager": "CUSTOMER",
        "Enabled": true,
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1478910250.94,
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/6f815f63-e628-448c-8251-e4EXAMPLE",
        "AWSAccountId": "111122223333",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ]
    }
}

Définir les autorisations sur la clé

Ensuite, définir les autorisations sur la clé. Par défaut, toutes les AWS KMS clés sont privées. Seul le propriétaire de la ressource peut l'utiliser pour chiffrer et déchiffrer des données. Cependant, le propriétaire de la ressource peut accorder à d'autres utilisateurs et ressources des autorisations d'accès à la clé. Dans cette étape, vous autorisez le principal du service CloudWatch à utiliser la clé. Ce principal de service doit se trouver dans la même AWS région que celle où la clé KMS est stockée.

Il est recommandé de limiter l'utilisation de la clé KMS aux seuls AWS comptes ou ressources que vous spécifiez.

La première étape de la configuration des autorisations consiste à enregistrer la politique par défaut de votre clé comme policy.json. Pour cela, utilisez la commande suivante. key-idRemplacez-la par l'identifiant de votre clé.

aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

Ouvrez le fichier policy.json dans un éditeur de texte, puis ajoutez les nouvelles sections de politique dans la politique. Séparez la section existante des nouvelles sections à l’aide d’une virgule. Ces nouvelles sections utilisent Condition des sections pour renforcer la sécurité de la AWS KMS clé. Pour plus d’informations, consultez Clés AWS KMS et contexte de chiffrement.

Cette politique accorde des autorisations à certains principaux de service pour les raisons suivantes :

{
    "Sid": "Enable AI Operations Admin for the DescribeKey permissions",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }
    }
},
{
   "Sid": "Enable AI Operations Admin and Operator for the Decrypt and GenerateDataKey permissions", 
   "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}",
            "arn:aws:iam::{account-id}:role/{AIOpsOperator}"
         ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable AI Operations ReadOnly for the Decrypt permission",
   "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsReadOnly}"
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the DescribeKey permission",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the Decrypt and GenerateDataKey permissions",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
    "Sid": "Enable CloudWatch to have the Decrypt and GenerateDataKey permissions",
    "Effect": "Allow",
    "Principal": {
        "Service": "aiops.alarms.cloudwatch.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "StringEquals": {
            "aws:SourceAccount": "{account-id}",
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }, 
        "StringLike": { 
            "aws:SourceArn": "arn:aws:cloudwatch:{region}:{account-id}:alarm:*"
        }
    }
  } 

Après avoir mis à jour la politique, attribuez-la à la clé en exécutant la commande suivante.

aws kms put-key-policy --key-id key-id --policy-name default --policy file://policy.json

Association de la clé au groupe d’enquête

Lorsque vous utilisez la CloudWatch console pour créer un groupe d'enquêtes, vous pouvez choisir d'associer la AWS KMS clé au groupe d'enquêtes. Pour de plus amples informations, veuillez consulter Configuration d’un groupe d’enquête.

Vous pouvez également associer une clé gérée par le client à un groupe d’enquête existant.

Modification de votre configuration de chiffrement

Vous pouvez mettre à jour un groupe d’enquête pour passer d’une clé gérée par le client à une clé détenue par le service, ou inversement. Vous pouvez également passer d’une clé gérée par le client à une autre. Lorsque vous apportez une telle modification, celle-ci s’applique aux nouvelles enquêtes créées après la modification. Les enquêtes précédentes sont toujours associées à l’ancienne configuration de chiffrement. Les enquêtes en cours continuent d’utiliser la clé d’origine pour les nouvelles données.

Tant qu’une clé précédemment utilisée reste active et que Amazon Q y a accès pour les besoins d’enquête, vous pouvez extraire les anciennes enquêtes chiffrées avec cette clé, ainsi que les données récentes dans les enquêtes actuelles chiffrées avec l’ancienne clé. Si vous supprimez une clé précédemment utilisée ou révoquez l’accès à celle-ci, les données d’enquête chiffrées avec cette clé ne pourront plus être extraites.

Cross-Region inférence

CloudWatch investigations utilise l'inférence interrégionale pour répartir le trafic entre différentes AWS régions. Bien que les données restent stockées uniquement dans la région principale, l’inférence interrégionale peut amener vos données d’enquête à transiter en dehors de votre région principale. Toutes les données sont transmises chiffrées au sein du réseau sécurisé d’Amazon.

Pour plus de détails sur la distribution de l’inférence interrégionale selon chaque région, consultez le tableau suivant.