Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Règles d'activation de la télémétrie

Vous pouvez créer des règles d'activation de la télémétrie afin de configurer automatiquement la collecte de télémétrie pour vos ressources. AWS Les règles vous aident à standardiser la collecte de données télémétriques au sein de votre organisation ou de vos comptes et à garantir une couverture de surveillance cohérente.

Comment fonctionnent les règles

La configuration de la télémétrie suit des modèles spécifiques lors de l'évaluation et de l'application des règles.

Hiérarchie d'évaluation des règles

Les règles d’activation sont évaluées selon un modèle hiérarchique. Les règles organisationnelles sont évaluées en premier, puis les règles qui s’appliquent aux unité organisationnelle (UO) et enfin les règles qui s’appliquent aux comptes individuels. Les règles au niveau organisationnel fournissent les données de télémétrie de base requises pour votre organisation. Les règles au niveau de l’unité organisationnelle et des comptes peuvent collecter des données de télémétrie supplémentaires, mais elles ne peuvent pas collecter moins de données de télémétrie. Si une telle règle est créée, elle entraînera un conflit de règles.

Dans chaque portée (organisation, unité organisationnelle ou compte), les règles doivent conserver leur caractère unique en fonction de leur type de ressource, de leur type de télémétrie et de leur configuration de destination. Les règles en double déclenchent une exception de conflit. Si la même règle existe dans différents domaines d'application, par exemple une règle au niveau de l'organisation pour les journaux Amazon VPC Flow CloudWatch et une règle au niveau de l'unité d'organisation pour les journaux Amazon VPC Flow, la règle la plus élevée dans la hiérarchie est appliquée. Toutefois, s'il existe plusieurs règles contradictoires, aucune des règles n'est appliquée.

Lorsque plusieurs règles s’appliquent à la même ressource, la configuration de télémétrie résout les conflits en utilisant les priorités suivantes :

Comportement des règles lors des mises à

Si vous mettez à jour une règle d'activation, seules les nouvelles ressources qui correspondent à la règle adoptent la configuration mise à jour. Les paramètres de télémétrie existants restent inchangés pour les ressources existantes. Si une ressource devient non conforme à une règle existante en raison de la suppression manuelle des données de télémétrie, la nouvelle règle d'activation est adoptée une fois la ressource remise en conformité.

Pour les journaux Amazon VPC Flow, la configuration de télémétrie crée de nouveaux journaux de flux uniquement pour les ressources qui correspondent à la portée de la règle. Elle ne supprime ni n'affecte les journaux Amazon VPC Flow précédemment établis, même s'ils diffèrent des paramètres de règles actuels. Pour les CloudWatch journaux, les groupes de journaux existants sont gérés à condition qu'ils correspondent au modèle de ressources.

Intégration à AWS Config

CloudWatch l'audit et la configuration de la télémétrie s'intègrent AWS Config pour découvrir automatiquement les ressources qui correspondent à votre règle d'activation et les appliquer à votre collecte de données de télémétrie. Lorsque vous créez une règle d'activation, la configuration de télémétrie crée un enregistreur correspondant. AWS Config Cet enregistreur comprend des éléments de configuration pour les types de ressources spécifiques que vous définissez dans la règle d’activation.

Amazon CloudWatch utilise l'enregistreur lié au service AWS Config Internal. Les CI CloudWatch utilisés dans le cadre des enregistreurs liés aux services internes ne vous sont pas facturés.

La configuration de télémétrie permet de : AWS Config

Règles applicables à toutes les régions

Lorsque vous créez une règle avec des régions cibles, la région actuelle devient la région d'origine de cette règle. La règle est automatiquement répliquée dans les régions en étoile que vous sélectionnez.

Concepts clés des règles multirégionales :

Lorsqu'une règle répliquée est créée, mise à jour ou supprimée dans une région en étoile, en AWS CloudTrail enregistre une AwsServiceEvent dans la région en étoile. Ces événements sont enregistrés en observabilityadmin.amazonaws.com tant que service d'appel et incluent la règle ARN dans la région de rayon. Vous pouvez utiliser ces événements pour auditer l'activité de réplication de règles multirégionales.

Voici un exemple d' AWS CloudTrail événement enregistré lorsqu'une règle répliquée est créée dans une région de rayons :

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

Le eventName champ reflète l'opération effectuée sur la règle répliquée : CreateTelemetryRuleUpdateTelemetryRule, ouDeleteTelemetryRule. Cela eventType est toujours AwsServiceEvent dû au fait que l'opération est effectuée par le ObservabilityAdmin service pour le compte du client, et non par un appel d'API direct au client.

Création d'une règle d'activation de la télémétrie

Lorsque vous créez une règle d’activation de télémétrie, vous spécifiez :

Gestion des règles de télémétrie

Après avoir créé des règles, vous pouvez les modifier ou les supprimer. Vous pouvez également afficher les ressources concernées par chaque règle et surveiller la conformité aux règles.

Gestion des règles répliquées

Lorsque vous visualisez une règle répliquée dans une région en étoile, la console affiche une alerte d'information indiquant que la règle a été répliquée depuis une autre région. Les actions Modifier la règle et Supprimer sont désactivées pour les règles répliquées dans les régions à rayons.

Pour modifier ou supprimer une règle répliquée, accédez à la région d'accueil dans laquelle la règle a été créée à l'origine. La région d'origine est affichée dans l'alerte d'information.

Vous pouvez ajouter ou modifier des balises sur des règles répliquées dans les régions à rayons. Les modifications de balises effectuées dans les régions relais s'appliquent uniquement à la copie locale de la règle et ne sont pas répliquées dans la région d'origine.

Chiffrement de groupes de journaux à l'aide de clés gérées par le client

Vous pouvez chiffrer les groupes de journaux créés par les règles d'activation de la télémétrie à l'aide d'une clé gérée par le client. AWS KMS Le chiffrement des groupes de journaux à l'aide d'une clé gérée par le client vous permet de contrôler la rotation des clés et de répondre aux exigences de conformité. Lorsque vous spécifiez un ARN AWS KMS clé dans la configuration de destination de votre règle, associe CloudWatch automatiquement la clé à chaque groupe de journaux créé lors de la correction.

Exigences relatives aux clés KMS

Politique de clé KMS requise

Votre politique de AWS KMS clé doit autoriser le service CloudWatch Logs à utiliser la clé pour le chiffrement. Ajoutez la déclaration suivante à votre politique clé :

{
    "Sid": "AllowCloudWatchLogsToUseKey",
    "Effect": "Allow",
    "Principal": { "Service": "logs.amazonaws.com" },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceOrgID": "your-organization-id"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:*:*:log-group:*"
        }
    }
}

Remplacez-le your-organization-id par AWS Organizations l'identifiant de votre organisation. Cette aws:SourceOrgID condition garantit que seuls les comptes de votre organisation peuvent utiliser la clé pour le chiffrement des groupes de journaux.

Service-linked autorisations de rôle pour le chiffrement

Le rôle lié au service des règles de télémétrie nécessite des autorisations supplémentaires pour prendre en charge le chiffrement par clé. AWS KMS Les autorisations suivantes sont automatiquement ajoutées au rôle lié à un service lorsque vous utilisez le AWS KMS chiffrement avec des règles de télémétrie :

Comment les clés multirégions fonctionnent avec les règles de télémétrie

Multi-Region AWS KMS les clés partagent le même identifiant de clé d'une région à l'autre. Lorsqu'une règle de télémétrie comportant une AWS KMS clé est appliquée dans plusieurs régions, le service attribue automatiquement l'ARN clé à la région cible. Par exemple, si vous fournissez la clé ARN arn:aws:kms:us-east-1:123456789012:key/mrk-1234abcd et que la règle crée un groupe de journaux danseu-west-1, le service l'utilise arn:aws:kms:eu-west-1:123456789012:key/mrk-1234abcd pour le chiffrement dans cette région.

Vous devez vous assurer que la clé multirégion est répliquée dans toutes les régions où la règle s'applique. Si la clé n'a pas été répliquée dans une région cible, la correction des ressources de cette région échoue et le service recommence l'opération.

Mise à jour des paramètres de chiffrement

Lorsque vous mettez à jour une règle pour ajouter une AWS KMS clé, le service applique la clé uniquement aux groupes de journaux créés par la règle après la mise à jour. Le service ne chiffre pas rétroactivement les groupes de journaux créés par la règle avant l'ajout de la clé.

Lorsque vous supprimez la AWS KMS clé ARN d'une règle, le service modifie la configuration de chiffrement qu'il appliquait précédemment aux groupes de journaux gérés de la règle.

Sources de données prises en charge

Les sources de données suivantes sont prises en charge par les règles d'activation de la télémétrie. Chaque source de données est soumise à des considérations de comportement et de configuration spécifiques.