Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Keamanan dalam CloudWatch investigasi

Bagian ini mencakup topik tentang bagaimana CloudWatch investigasi terintegrasi dengan fitur AWS keamanan dan izin.

Izin CloudWatch investigasi default, retensi, dan enkripsi

Saat Anda menjalankan investigasi menggunakan pengaturan default tanpa konfigurasi tambahan di akun Anda, penyelidikan menggunakan izin yang tersedia untuk sesi konsol Anda saat ini dan hanya mengakses data telemetri menggunakan Read-only izin. Tidak diperlukan konfigurasi peran IAM grup investigasi atau kebijakan izin. Namun, itu berarti akses investigasi ke data dibatasi oleh izin pengguna yang masuk.

Investigasi ini hanya tersedia untuk pengguna yang sama yang memulai penyelidikan. Investigasi tersedia untuk dilihat hanya untuk jangka waktu 24 jam, setelah itu penyelidikan dihapus tanpa opsi pemulihan yang tersedia.

Data investigasi dienkripsi saat diam dengan kunci yang AWS dimiliki. Anda tidak dapat melihat atau mengelola kunci yang AWS dimiliki, dan Anda tidak dapat menggunakannya untuk tujuan lain atau mengaudit penggunaannya. Namun, Anda tidak perlu mengambil tindakan apa pun atau mengubah pengaturan apa pun untuk menggunakan tombol ini. Untuk informasi selengkapnya, lihat kunci AWS KMS.

Izin pengguna untuk grup CloudWatch investigasi Anda

AWS telah membuat tiga kebijakan IAM terkelola yang dapat Anda gunakan untuk pengguna yang akan bekerja dengan grup CloudWatch investigasi Anda.

Kami menyarankan Anda menggunakan tiga prinsipal IAM, memberikan salah satu dari mereka kebijakan AIOpsConsoleAdminPolicy IAM, memberikan AIOpsOperatorAccess kebijakan yang lain, dan memberikan kebijakan ketiga. AIOpsReadOnlyAccess Prinsipal ini bisa berupa peran IAM (disarankan) atau pengguna IAM. Kemudian pengguna Anda yang bekerja dengan CloudWatch investigasi akan masuk menggunakan salah satu prinsip ini.

Izin untuk pembuatan laporan insiden

Pembuatan laporan insiden memerlukan izin tambahan untuk memungkinkan AI mengumpulkan peristiwa, fakta, dan kemudian membuat laporan.

Pengguna dengan AIOpsConsoleAdminPolicy dapat menghasilkan, mengedit, dan menyalin laporan insiden. Secara default, grup investigasi Anda ditugaskan AIOpsAssistantPolicy untuk memberikan akses ke sumber daya. Namun, ia tidak memiliki izin yang diperlukan untuk menghasilkan laporan investigasi. Untuk memberikan izin kepada grup investigasi Anda untuk menyusun data investigasi ke dalam laporan insiden, Anda harus menambahkan kebijakan serupa dengan contoh berikut yang menyertakan izin tambahan atau menambahkan tindakan tambahan sebagai kebijakan sebaris ke grup:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "IncidentReportOperations",
            "Effect": "Allow",
            "Action": [
                "aiops:GetInvestigation",
                "aiops:ListInvestigationEvents",
                "aiops:GetInvestigationEvent",

                "aiops:CreateReport",
                "aiops:UpdateReport", 
                "aiops:GetReport",

                "aiops:PutFact",
                "aiops:ListFacts",
                "aiops:GetFact",
                "aiops:GetFactVersions"
            ],
            "Resource": [
                "arn:aws:aiops:*:*:investigation-group/*"
            ]
        }
    ]
}

Kebijakan terkelola baru AIOpsAssistantIncidentReportPolicy memberikan izin yang diperlukan dan secara otomatis ditambahkan ke grup investigasi yang dibuat setelah 10 Oktober 2025. Untuk informasi selengkapnya, lihat AIOpsAssistantIncidentReportPolicy.

Izin tambahan untuk Database Insights

Untuk menggunakan kemampuan Database Insights selama penyelidikan, Anda harus melampirkan AmazonRDSPerformanceInsightsFullAccess kebijakan terkelola ke peran atau pengguna IAM yang Anda gunakan untuk melakukan penyelidikan. CloudWatch investigasi memerlukan izin ini untuk membuat dan mengakses laporan analisis kinerja untuk instance database Amazon RDS Anda.

Untuk melampirkan kebijakan ini, gunakan konsol IAM untuk menambahkan kebijakan terkel AmazonRDSPerformanceInsightsFullAccess ola ke prinsip investigasi Anda. Untuk informasi selengkapnya tentang kebijakan terkelola ini dan izinnya, lihat AmazonRDSPerformanceInsightsFullAccess.

Bagaimana mengontrol data apa yang dapat CloudWatch diakses oleh investigasi selama penyelidikan

Saat mengonfigurasi grup investigasi di akun Anda, Anda menentukan izin apa yang dimiliki CloudWatch investigasi untuk mengakses sumber daya selama penyelidikan. Anda melakukan ini dengan menetapkan peran IAM ke grup investigasi.

Untuk memungkinkan CloudWatch penyelidikan untuk mengakses sumber daya dan dapat membuat saran dan hipotesis, metode yang direkomendasikan adalah AIOpsAssistantPolicy melampirkan peran kelompok investigasi. Ini memberikan izin kelompok investigasi untuk menganalisis AWS sumber daya Anda selama penyelidikan Anda. Untuk informasi tentang isi lengkap kebijakan ini, lihatAIOpsAssistantPolicy.

Anda juga dapat memilih untuk melampirkan peran umum AWS ReadOnlyAccess ke grup investigasi, selain melampirkan AIOpsAssistantPolicy. Alasan untuk melakukan ini adalah AWS pembaruan ReadOnlyAccess lebih sering dengan izin untuk AWS layanan dan tindakan baru yang dirilis. Ini juga AIOpsAssistantPolicy akan diperbarui untuk tindakan baru, tetapi tidak sesering.

Jika Anda ingin menguraikan izin yang diberikan untuk CloudWatch penyelidikan, Anda dapat melampirkan kebijakan IAM khusus ke peran IAM grup investigasi alih-alih melampirkan kebijakan. AIOpsAssistantPolicy Untuk melakukan ini, mulai kebijakan kustom Anda dengan konten AIOpsAssistantPolicy dan kemudian hapus izin yang tidak ingin Anda berikan untuk peny CloudWatch elidikan. Ini akan mencegah CloudWatch penyelidikan membuat saran berdasarkan AWS layanan atau tindakan yang tidak Anda berikan akses.

Mengizinkan CloudWatch investigasi untuk mendekripsi data terenkripsi selama penyelidikan

Jika Anda mengenkripsi data di salah satu layanan berikut dengan kunci yang dikelola pelanggan AWS KMS, dan Anda ingin CloudWatch penyelidikan dapat mendekripsi data dari layanan ini dan memasukkannya ke dalam penyelidikan, Anda harus melampirkan satu atau beberapa kebijakan IAM tambahan ke peran IAM grup investigasi.

Pernyataan kebijakan harus menyertakan kunci konteks untuk konteks enkripsi untuk membantu menguraikan izin. Misalnya, kebijakan berikut akan memungkinkan CloudWatch penyelidikan untuk mendekripsi data untuk mesin status Fungsi Langkah.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
        {
            "Sid": "AIOPSKMSAccessForStepFunctions",
            "Effect": "Allow",
            "Principal": {
                "Service": "aiops.amazonaws.com"
            },
            "Action":
            [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                     "kms:ViaService": "states.*.amazonaws.com",
                     "kms:EncryptionContext:aws:states:stateMachineArn": "arn:aws:states:region:accountId:stateMachine:*"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya tentang jenis kebijakan ini dan penggunaan kunci konteks ini, lihat kms: ViaService dan kms:EncryptionContext: context-key di Panduan Peng AWS Key Management Service embang, dan aws: SourceArn di Panduan Pengguna IAM.

Enkripsi data investigasi

Untuk enkripsi data investigasi Anda, AWS menawarkan dua opsi:

Laporan insiden yang dihasilkan dari investigasi menggunakan pengaturan enkripsi yang sama dengan investigasi induk. Ini mempertahankan postur keamanan yang konsisten di seluruh data investigasi dan dokumentasi Anda

Untuk informasi lebih lanjut tentang AWS KMS, lihat AWS Key Management Service.

Menggunakan kunci yang dikelola pelanggan untuk grup investigasi Anda

Anda dapat mengaitkan grup investigasi dengan kunci yang dikelola pelanggan, dan kemudian semua investigasi yang dibuat dalam grup tersebut akan menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data investigasi Anda saat diam.

CloudWatch investigasi penggunaan kunci yang dikelola pelanggan memiliki kondisi berikut:

Menyiapkan investigasi untuk menggunakan AWS KMS kunci yang dikelola pelanggan

Pertama, jika Anda belum memiliki kunci simetris yang ingin Anda gunakan, buat kunci baru dengan perintah berikut.

aws kms create-key

Output perintah mencakup ID kunci dan Nama Sumber Daya Amazon (ARN) dari kunci tersebut. Anda akan membutuhkannya di langkah-langkah selanjutnya di bagian ini. Berikut ini adalah contoh dari output ini.

{
"KeyMetadata": {
"Origin": "AWS_KMS",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Description": "",
        "KeyManager": "CUSTOMER",
        "Enabled": true,
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1478910250.94,
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/6f815f63-e628-448c-8251-e4EXAMPLE",
        "AWSAccountId": "111122223333",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ]
    }
}

Tetapkan izin pada kunci

Selanjutnya, atur izin pada kunci. Secara default, semua AWS KMS kunci bersifat pribadi. Hanya pemilik sumber daya yang dapat menggunakannya untuk mengenkripsi dan mendekripsi data. Namun, pemilik sumber daya dapat memberikan izin untuk mengakses kunci ke pengguna dan sumber daya lain. Dengan langkah ini, Anda memberikan izin utama layanan Operasi AI untuk menggunakan kunci. Prinsip layanan ini harus berada di Wil AWS ayah yang sama tempat kunci KMS disimpan.

Sebagai praktik terbaik, sebaiknya batasi penggunaan kunci KMS hanya untuk AWS akun atau sumber daya yang Anda tentukan.

Langkah pertama untuk mengatur izin adalah menyimpan kebijakan default untuk kunci Anda sebagaipolicy.json. Gunakan perintah berikut untuk melakukannya. Ganti key-id dengan ID kunci Anda.

aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

Buka policy.json file di editor teks dan tambahkan bagian kebijakan berikut ke dalam kebijakan tersebut. Pisahkan pernyataan yang ada dari bagian baru dengan koma. Bagian baru ini menggunakan Condition bagian untuk meningkatkan keamanan AWS KMS kunci. Untuk informasi selengkapnya, lihat AWS KMS kunci dan konteks enkripsi.

Kebijakan ini memberikan izin untuk prinsipal layanan karena alasan berikut:

{
    "Sid": "Enable AI Operations Admin for the DescribeKey permissions",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }
    }
},
{
   "Sid": "Enable AI Operations Admin and Operator for the Decrypt and GenerateDataKey permissions", 
   "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}",
            "arn:aws:iam::{account-id}:role/{AIOpsOperator}"
         ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable AI Operations ReadOnly for the Decrypt permission",
   "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsReadOnly}"
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the DescribeKey permission",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the Decrypt and GenerateDataKey permissions",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
    "Sid": "Enable CloudWatch to have the Decrypt and GenerateDataKey permissions",
    "Effect": "Allow",
    "Principal": {
        "Service": "aiops.alarms.cloudwatch.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "StringEquals": {
            "aws:SourceAccount": "{account-id}",
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }, 
        "StringLike": { 
            "aws:SourceArn": "arn:aws:cloudwatch:{region}:{account-id}:alarm:*"
        }
    }
  } 

Setelah memperbarui kebijakan, tetapkan ke kunci dengan memasukkan perintah berikut.

aws kms put-key-policy --key-id key-id --policy-name default --policy file://policy.json

Kaitkan kunci dengan kelompok investigasi

Saat Anda menggunakan CloudWatch konsol untuk membuat grup investigasi, Anda dapat memilih untuk mengaitkan AWS KMS kunci dengan grup investigasi. Untuk informasi selengkapnya, lihat Mendirikan kelompok investigasi.

Anda juga dapat mengaitkan kunci yang dikelola pelanggan dengan grup investigasi yang ada.

Mengubah konfigurasi enkripsi Anda

Anda dapat memperbarui grup investigasi untuk beralih antara menggunakan kunci yang dikelola pelanggan atau kunci milik layanan. Anda juga dapat mengubah dari menggunakan satu kunci yang dikelola pelanggan ke menggunakan kunci lain. Ketika Anda membuat perubahan seperti itu, perubahan tersebut berlaku untuk investigasi baru yang dibuat setelah perubahan. Investigasi sebelumnya masih terkait dengan konfigurasi enkripsi lama. Investigasi yang sedang berlangsung saat ini juga terus menggunakan kunci asli untuk data baru.

Selama kunci yang digunakan sebelumnya aktif dan Amazon Q memiliki akses ke sana untuk penyelidikan, Anda dapat mengambil investigasi lama yang dienkripsi dengan metode itu, serta data dalam penyelidikan saat ini yang dienkripsi dengan kunci sebelumnya. Jika Anda menghapus kunci yang sebelumnya digunakan atau mencabut akses ke kunci tersebut, data investigasi yang dienkripsi dengan kunci tersebut tidak dapat diambil.

Cross-Region kesimpulan

CloudWatch investigasi menggunakan inferensi lintas wilayah untuk mendistribusikan lalu lintas di Wilayah yang berbeda AWS . Meskipun data tetap disimpan hanya di Wilayah utama, saat menggunakan inferensi Lintas wilayah, data investigasi Anda mungkin bergerak ke luar Wilayah utama Anda. Semua data akan dikirim terenkripsi di seluruh jaringan aman Amazon.

Untuk detail tentang di mana distribusi inferensi lintas wilayah terjadi untuk setiap Wilayah, lihat tabel berikut.