Regras de habilitação de telemetria

Você pode criar regras de habilitação de telemetria para configurar automaticamente a coleta de telemetria para seus recursos da AWS. As regras ajudam você a padronizar a coleta de telemetria em sua organização ou contas e a garantir uma cobertura de monitoramento consistente.

Como funcionam as regras

A configuração da telemetria segue padrões específicos ao avaliar e aplicar regras.

Hierarquia de avaliação das regras

As regras de habilitação são avaliadas de acordo com um padrão hierárquico. As regras organizacionais são avaliadas primeiro, depois as regras que se aplicam às unidades organizacionais (UOs) e, finalmente, as regras que se aplicam às contas individuais. As regras no nível organizacional fornecem a telemetria básica necessária para sua organização. As regras no nível da UO e da conta podem coletar dados adicionais de telemetria, mas não podem coletar menos dados de telemetria. Se essa regra for criada, ela criará um conflito de regras.

Dentro de cada escopo (organização, UO ou conta), as regras devem manter a exclusividade com base em seu tipo de recurso, tipo de telemetria e configuração de destino. Regras duplicadas acionam uma exceção de conflito. Se a mesma regra existir em diferentes escopos, como uma regra de nível organizacional para os logs de fluxos da Amazon VPC para o CloudWatch, e uma regra de nível de UO para os logs de fluxos da Amazon VPC, a regra mais alta na hierarquia será aplicada. Porém, se houver várias regras conflitantes, nenhuma delas será aplicada.

Quando várias regras se aplicam ao mesmo recurso, a configuração de telemetria resolve os conflitos usando estas prioridades:

Comportamento das regras em atualizações

Se você atualizar uma regra de habilitação, somente os recursos novos que atenderem à regra adotarão a configuração atualizada. As configurações de telemetria existentes permanecerão inalteradas nos recursos existentes. Caso um recurso fique fora de conformidade com uma regra existente por conta da exclusão manual de dados de telemetria, a nova regra de habilitação será aplicada assim que ele voltar à conformidade.

Para os logs de fluxo da VPC, a configuração de telemetria cria novos logs de fluxos somente para os recursos que estiverem dentro do escopo da regra. Ela não exclui nem afeta os logs de fluxos da VPC estabelecidos antes, mesmo se eles diferirem dos parâmetros da regra atual. Para o CloudWatch Logs, os grupos de logs existentes são mantidos, desde que correspondam ao padrão do recurso.

Integração com AWS Config

A auditoria e a configuração de telemetria do CloudWatch se integram com o AWS Config para descobrir automaticamente os recursos que correspondem à sua regra de habilitação e aplicá-los à sua coleta de dados de telemetria. Quando você cria uma regra de habilitação, a configuração de telemetria cria um gravador do AWS Config correspondente. Esse gravador inclui itens de configuração para os tipos de recursos específicos que você define na regra de habilitação.

O Amazon CloudWatch usa o gravador vinculado ao serviço AWS Config Internal. Os CIs que o CloudWatch usa como parte dos gravadores vinculados ao serviço Internal não são cobrados.

A configuração de telemetria usa o AWS Config para:

Regras para várias regiões

Quando você cria uma regra com regiões de destino, a região atual se torna a região primária dessa regra. A regra é replicada automaticamente nas regiões secundárias que você seleciona.

Conceitos-chave para regras multirregionais:

Quando uma regra replicada é criada, atualizada ou excluída em uma região secundária, o AWS CloudTrail registra um AwsServiceEvent na região secundária. Esses eventos são registrados em log com observabilityadmin.amazonaws.com como o serviço invocador e incluem o ARN da regra na região secundária. Você pode usar esses eventos para auditar as atividades de replicação de regras em várias regiões.

O seguinte exemplo é de um evento do AWS CloudTrail registrado quando uma regra replicada é criada em uma região secundária:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

O campo eventName reflete a operação realizada na regra replicada: CreateTelemetryRule, UpdateTelemetryRule ou DeleteTelemetryRule. O eventType é sempre AwsServiceEvent porque a operação é realizada pelo serviço ObservabilityAdmin em nome do cliente, não por uma chamada de API direta do cliente.

Criar uma regra de habilitação de telemetria

Ao criar uma regra de habilitação de telemetria, especifique:

Gerenciamento de regras de telemetria

Depois de criar regras, você pode editá-las ou excluí-las. Você também pode ver quais recursos cada regra afeta e monitorar a conformidade com as regras.

Gerenciar as regras replicadas

Quando você visualiza uma regra replicada em uma região secundária, o console exibe um alerta informativo indicando que a regra foi replicada de outra região. As ações Editar regra e Excluir são desabilitadas para regras replicadas nas regiões secundárias.

Para editar ou excluir uma regra replicada, navegue até a região primária em que a regra foi criada. A região primária é exibida no alerta informativo.

Você pode adicionar ou modificar tags em regras replicadas nas regiões secundárias. Alterações de tag feitas nas regiões secundárias se aplicam somente à cópia local da regra, não são replicadas à região primária.

Criptografia de grupos de logs com chaves gerenciadas pelo cliente

Você pode criptografar grupos de logs criados por regras de habilitação de telemetria usando uma chave do AWS KMS gerenciada pelo cliente. A criptografia de grupos de logs com uma chave gerenciada pelo cliente oferece controle sobre a rotação de chaves e ajuda a atender aos requisitos de conformidade. Quando você especifica um ARN de chave do AWS KMS na configuração de destino da sua regra, o CloudWatch associa automaticamente a chave a cada grupo de logs criado durante a remediação.

Requisitos para chaves do KMS

Política de chave do KMS necessária

Sua política de chave do AWS KMS deve permitir que o serviço do CloudWatch Logs use a chave para criptografia. Adicione a seguinte instrução à política de chave:

{
    "Sid": "AllowCloudWatchLogsToUseKey",
    "Effect": "Allow",
    "Principal": { "Service": "logs.amazonaws.com" },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceOrgID": "your-organization-id"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:*:*:log-group:*"
        }
    }
}

Substitua your-organization-id pelo ID da sua organização do AWS Organizations. A condição aws:SourceOrgID garante que somente contas em sua organização possam usar a chave para criptografia de grupos de logs.

Permissões de perfil vinculado ao serviço para criptografia

O perfil vinculado ao serviço de regras de telemetria exige permissões adicionais para ser compatível com a criptografia de chaves do AWS KMS. As seguintes permissões são adicionadas automaticamente ao perfil vinculado ao serviço quando você usa a criptografia do AWS KMS com regras de telemetria:

Como funcionam as chaves multirregião com regras de telemetria

Chaves multirregião do AWS KMS compartilham o mesmo ID de chave entre as regiões. Quando uma regra de telemetria com uma chave do AWS KMS é aplicada em várias regiões, o serviço resolve automaticamente o ARN da chave para a região de destino. Por exemplo, se você fornecer o ARN da chave arn:aws:kms:us-east-1:123456789012:key/mrk-1234abcd e a regra criar um grupo de logs em eu-west-1, o serviço usará arn:aws:kms:eu-west-1:123456789012:key/mrk-1234abcd para criptografia nessa região.

Você deve garantir que a chave multirregional seja replicada em todas as regiões em que a regra se aplica. Se a chave não tiver sido replicada em uma região de destino, a remediação dos recursos nessa região falhará e o serviço repetirá a operação.

Atualização de configurações de criptografia

Quando você atualiza uma regra para adicionar uma chave do AWS KMS, o serviço aplica a chave somente aos grupos de logs que a regra cria após a atualização. O serviço não criptografa retroativamente os grupos de logs que a regra criou antes de você adicionar a chave.

Quando você remove o ARN da chave do AWS KMS de uma regra, o serviço altera a configuração de criptografia aplicada anteriormente aos grupos de logs gerenciados da regra.

Fontes de dados compatíveis

As seguintes fontes de dados são compatíveis com as regras de habilitação de telemetria. Cada fonte de dados tem considerações específicas de comportamento e configuração.