Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan otentikasi token pembawa untuk Metrik

Sebelum Anda dapat mengirim metrik menggunakan otentikasi token pembawa dengan titik akhir CloudWatch OTLP, Anda perlu:

Opsi 1: Mulai cepat menggunakan AWS konsol

AWS Management Console menyediakan alur kerja yang efisien untuk menghasilkan kunci API untuk akses titik akhir OTLP.

Konsol secara otomatis:

Opsi 2: Pengaturan manual

Jika Anda lebih suka kontrol lebih besar atas konfigurasi IAM atau perlu menyesuaikan izin, Anda dapat mengatur akses titik akhir OTLP secara manual.

Langkah 1: Buat pengguna IAM

Buat pengguna IAM untuk konsumsi metrik:

Langkah 2: Hasilkan kredenSIAL khusus layanan (kunci API)

Hasilkan kunci CloudWatch Metrics API menggunakan CreateServiceSpecificCredential API. Anda juga dapat menggunakan perintah create-service-spesifik-credential AWS CLI . Untuk usia kredensi, Anda dapat menentukan nilai antara 1-36600 hari. Jika Anda tidak menentukan usia kredensi, kunci API tidak akan kedaluwarsa.

Untuk menghasilkan kunci API dengan kedaluwarsa 30 hari:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

Jawabannya adalah sebuah ServiceSpecificCredential objek. Nil ServiceCredentialSecret ainya adalah kunci API CloudWatch Metrik Anda (token pembawa).

Langkah 3: Kirim metrik

Anda dapat segera mengirim metrik ke titik akhir OTLP menggunakan token pembawa Anda:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

Titik akhir menerima kedua application/json dan jenis application/x-protobuf konten.

Kontrol izin untuk menghasilkan dan menggunakan kunci CloudWatch Metrics API

Mengontrol pembuatan kunci CloudWatch Metrics API

T iam:CreateServiceSpecificCredential indakan mengontrol pembuatan kunci khusus layanan (seperti kunci API CloudWatch Metrik). Anda dapat memberikan cakupan tindakan ini kepada pengguna IAM sebagai sumber daya untuk membatasi pengguna yang kuncinya dapat dibuat.

Anda dapat menggunakan kunci kondisi berikut untuk memaksakan kondisi pada izin iam:CreateServiceSpecificCredential tindakan:

Mengontrol penggunaan kunci CloudWatch Metrics API

T cloudwatch:CallWithBearerToken indakan mengontrol penggunaan kunci CloudWatch Metrics API. Untuk mencegah identitas menggunakan kunci API CloudWatch Metrik, lampirkan kebijakan yang menolak cloudwatch:CallWithBearerToken tindakan tersebut kepada pengguna IAM yang terkait dengan kunci tersebut.

Contoh kebijakan

Mencegah identitas menghasilkan dan menggunakan kunci CloudWatch Metrics API:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Mencegah identitas menggunakan kunci CloudWatch Metrics API:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Izinkan pembuatan kunci CloudWatch Metrik hanya jika kedaluwarsa dalam 90 hari:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Menggunakan token pembawa dengan Kolektor OpenTelemetry

Saat menggunakan token pembawa, Anda tidak memerlukan sigv4auth ekstensi. Gunakan ekstensi bearertokenauth untuk memberikan kunci API Anda dengan aman dari file atau variabel lingkungan:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Atau, Anda dapat mereferensikan variabel lingkungan alih-alih file:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Memutar kunci API

Memutar kunci API secara teratur mengurangi risiko akses yang tidak sah. Anda harus merekomendasikan menetapkan jadwal rotasi yang selaras dengan kebijakan keamanan organisasi Anda.

Proses rotasi

Untuk memutar kunci API tanpa mengganggu pengiriman metrik, ikuti prosedur ini:

Pemantauan kedaluwarsa kunci

Untuk memeriksa tanggal pembuatan dan status kunci API yang ada, gunakan perintah list-servic e-specific:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

Tanggapan termasuk CreateDate dan Status untuk setiap kredensi. Gunakan informasi ini untuk mengidentifikasi kunci yang mendekati kedaluwarsa atau telah aktif lebih lama dari yang diizinkan kebijakan rotasi Anda.

Menanggapi kunci API yang dikompromikan

Jika Anda mencurigai bahwa kunci API telah dikompromikan, segera lakukan langkah-langkah berikut:

Anda juga dapat menggunakan operasi IAM API berikut untuk mengelola kunci yang dikompromikan:

Praktik terbaik keamanan untuk kunci API

Ikuti praktik terbaik berikut untuk melindungi kunci API CloudWatch Metrik Anda:

Logging penggunaan kunci API dengan CloudTrail

Anda dapat menggunakan AWS CloudTrail untuk mencatat peristiwa data untuk penyerapan CloudWatch Metrik OTLP. CloudWatch memancarkan peristiwa AWS::CloudWatch::Dataset data untuk panggilan ke titik akhir OTLP, memungkinkan Anda untuk mengaudit aktivitas penyerapan metrik termasuk penggunaan kunci API.

readOnly: falseFilter membatasi logging untuk menulis operasi (PutMetricData), yang mencakup semua panggilan penyerapan OTLP. Untuk mengidentifikasi penggunaan token pembawa di antara peristiwa ini, kueri log jejak Anda (melalui Athena atau CloudTrail Lake) dan filter berdasarkan nama pengguna IAM yang terkait dengan kunci API Anda (misalnya,). cloudwatch-metrics-api-key-user Peristiwa dari penyerapan OTLP termasuk AdditionalEventData.protocol disetel ke OTLP dalam payload acara, yang dapat Anda gunakan dalam kueri post-hoc untuk membedakannya dari panggilan SDK klasik PutMetricData .