Regras de habilitação de telemetria

Você pode criar regras de habilitação de telemetria para configurar automaticamente a coleta de telemetria para seus recursos da AWS. As regras ajudam você a padronizar a coleta de telemetria em sua organização ou contas e a garantir uma cobertura de monitoramento consistente.

Como funcionam as regras

A configuração da telemetria segue padrões específicos ao avaliar e aplicar regras.

Hierarquia de avaliação das regras

As regras de habilitação são avaliadas de acordo com um padrão hierárquico. As regras organizacionais são avaliadas primeiro, depois as regras que se aplicam às unidades organizacionais (UOs) e, finalmente, as regras que se aplicam às contas individuais. As regras no nível organizacional fornecem a telemetria básica necessária para sua organização. As regras no nível da UO e da conta podem coletar dados adicionais de telemetria, mas não podem coletar menos dados de telemetria. Se essa regra for criada, ela criará um conflito de regras.

Dentro de cada escopo (organização, UO ou conta), as regras devem manter a exclusividade com base em seu tipo de recurso, tipo de telemetria e configuração de destino. Regras duplicadas acionam uma exceção de conflito. Se a mesma regra existir em diferentes escopos, como uma regra de nível organizacional para os logs de fluxos da Amazon VPC para o CloudWatch, e uma regra de nível de UO para os logs de fluxos da Amazon VPC, a regra mais alta na hierarquia será aplicada. Porém, se houver várias regras conflitantes, nenhuma delas será aplicada.

Quando várias regras se aplicam ao mesmo recurso, a configuração de telemetria resolve os conflitos usando estas prioridades:

Comportamento das regras em atualizações

Se você atualizar uma regra de habilitação, somente os recursos novos que atenderem à regra adotarão a configuração atualizada. As configurações de telemetria existentes permanecerão inalteradas nos recursos existentes. Se um recurso não estiver em conformidade com uma regra existente devido à exclusão manual dos dados de telemetria, a nova regra de habilitação será adotada quando o recurso voltar à conformidade.

Para os logs de fluxo da VPC, a configuração de telemetria cria novos logs de fluxos somente para os recursos que estiverem dentro do escopo da regra. Ela não exclui nem afeta os logs de fluxos da VPC estabelecidos antes, mesmo se eles diferirem dos parâmetros da regra atual. Para o CloudWatch Logs, os grupos de logs existentes são mantidos, desde que correspondam ao padrão do recurso.

Integração com AWS Config

A auditoria e a configuração de telemetria do CloudWatch se integram com o AWS Config para descobrir automaticamente os recursos que correspondem à sua regra de habilitação e aplicá-los à sua coleta de dados de telemetria. Quando você cria uma regra de habilitação, a configuração de telemetria cria um gravador do AWS Config correspondente. Esse gravador inclui itens de configuração para os tipos de recursos específicos que você define na regra de habilitação.

O Amazon CloudWatch usa o gravador vinculado ao serviço AWS Config Internal. Os CIs que o CloudWatch usa como parte dos gravadores vinculados ao serviço Internal não são cobrados.

A configuração de telemetria usa o AWS Config para:

Regras para várias regiões

Quando você cria uma regra com regiões de destino, a região atual se torna a região primária dessa regra. A regra é replicada automaticamente nas regiões secundárias que você seleciona.

Conceitos-chave para regras multirregionais:

Quando uma regra replicada é criada, atualizada ou excluída em uma região secundária, o AWS CloudTrail registra um AwsServiceEvent na região secundária. Esses eventos são registrados em log com observabilityadmin.amazonaws.com como o serviço invocador e incluem o ARN da regra na região secundária. Você pode usar esses eventos para auditar as atividades de replicação de regras em várias regiões.

O seguinte exemplo é de um evento do AWS CloudTrail registrado quando uma regra replicada é criada em uma região secundária:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

O campo eventName reflete a operação realizada na regra replicada: CreateTelemetryRule, UpdateTelemetryRule ou DeleteTelemetryRule. O eventType é sempre AwsServiceEvent porque a operação é realizada pelo serviço ObservabilityAdmin em nome do cliente, não por uma chamada de API direta do cliente.

Criar uma regra de habilitação de telemetria

Ao criar uma regra de habilitação de telemetria, especifique:

Gerenciamento de regras de telemetria

Depois de criar regras, você pode editá-las ou excluí-las. Você também pode ver quais recursos cada regra afeta e monitorar a conformidade com as regras.

Gerenciar as regras replicadas

Quando você visualiza uma regra replicada em uma região secundária, o console exibe um alerta informativo indicando que a regra foi replicada de outra região. As ações Editar regra e Excluir são desabilitadas para regras replicadas nas regiões secundárias.

Para editar ou excluir uma regra replicada, navegue até a região primária em que a regra foi criada. A região primária é exibida no alerta informativo.

Você pode adicionar ou modificar tags em regras replicadas nas regiões secundárias. Alterações de tag feitas nas regiões secundárias se aplicam somente à cópia local da regra, não são replicadas à região primária.

Fontes de dados compatíveis

As seguintes fontes de dados são compatíveis com as regras de habilitação de telemetria. Cada fonte de dados tem considerações específicas de comportamento e configuração.