As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Monitorar repositórios de chaves externos

O AWS KMS coleta métricas para cada interação com um armazenamento de chaves externas e as publica em sua conta do CloudWatch. Essas métricas são usadas para gerar os grafos na seção de monitoramento da página de detalhes de cada armazenamento de chaves externas. O tópico a seguir detalha como usar os grafos para identificar e solucionar problemas operacionais e de configuração que afetam o armazenamento de chaves externas. Recomendamos usar as métricas do CloudWatch para definir alarmes que notifiquem você quando seu armazenamento de chaves externas não estiver funcionando conforme o esperado. Para obter mais informações, consulte Monitoramento com o Amazon CloudWatch.

Visualizar os grafos

Você pode visualizar os grafos em diferentes níveis de detalhes. Por padrão, cada grafo usa um intervalo de três horas e um período de agregação de cinco minutos. Você pode ajustar a visualização do grafo no console, mas suas alterações serão revertidas para as configurações padrão quando a página de detalhes do armazenamento de chaves externas for fechada ou quando o navegador for atualizado. Para obter ajuda com a terminologia do Amazon CloudWatch, consulte os conceitos do Amazon CloudWatch.

Visualizar detalhes do ponto de dados

Os dados de cada grafo são coletados por métricas do AWS KMS. Para visualizar mais informações sobre um ponto de dados específico, pause o mouse sobre o ponto de dados no grafo linha. Isso exibirá um pop-up com mais informações sobre a métrica da qual o grafo foi derivado. Cada item da lista exibe o valor de dimensão registrado no ponto de dados. O pop-up exibirá um valor nulo (–) se não houver dados métricos disponíveis para o valor da dimensão no ponto de dados. Alguns grafos registram várias dimensões e valores para um único ponto de dados. Outros grafos, como o grafo de confiabilidade, usam os dados coletados pela métrica para calcular um valor exclusivo. Cada item da lista é associado a uma cor de grafo linha diferente.

Modificar o intervalo de tempo

Para alterar o intervalo de tempo, selecione um dos intervalos de tempo predefinidos no canto superior direito da seção de monitoramento. Os intervalos de tempo predefinidos variam de uma hora a uma semana (1h, 3h, 12h, 1d, 3d ou 1w). Isso ajusta o intervalo de tempo para todos os grafos. Para visualizar um grafo específico em um intervalo de tempo diferente ou para definir um intervalo de tempo personalizado, amplie o grafo ou visualize-o no console do Amazon CloudWatch.

Ampliar grafos

Você pode usar o recurso de zoom de minimapa para focar em seções de grafos linhas e grafos de área empilhada sem alterações entre as visualizações com zoom aumentado e zoom diminuído. Por exemplo, é possível usar o recurso de zoom de minimapa para focar em um pico em um grafo linha para comparar o pico com outras métricas no painel usando a mesma linha do tempo.

Ampliar um grafo

Para ampliar um grafo, selecione o ícone de menu no canto superior direito de um grafo individual e escolha Enlarge (Ampliar). Você também pode selecionar o ícone de ampliação exibido ao lado do ícone de menu ao passar o mouse sobre um grafo.

Ampliar um grafo permite modificar ainda mais a visualização de um grafo especificando um período diferente, um intervalo de tempo personalizado ou um intervalo de atualização. Essas alterações serão revertidas para as configurações padrão quando você fechar a visualização ampliada.

Visualizar grafos no console do Amazon CloudWatch

Os grafos da seção de monitoramento são derivados de métricas predefinidas que o AWS KMS publica no Amazon CloudWatch. Você pode abri-los no console do CloudWatch e salvá-los nos painéis do CloudWatch. Se você tiver vários armazenamentos de chaves externas, poderá abrir seus respectivos grafos no CloudWatch e salvá-los em um único painel para comparar a integridade e o uso.

Adicionar ao painel do CloudWatch

Selecione Add to dashboard (Adicionar ao painel) no canto superior direito para adicionar todos os grafos a um painel do Amazon CloudWatch. Você pode selecionar um painel existente ou criar outro. Para obter informações sobre como usar esse painel para criar visualizações personalizadas dos grafos e alarmes, consulte Usar painéis do Amazon CloudWatch no Guia do usuário do Amazon CloudWatch.

Visualizar em métricas do CloudWatch

Selecione o ícone do menu no canto superior direito de um grafo individual e escolha View in metrics (Visualizar em métricas) para visualizar o grafo no console do Amazon CloudWatch. No console do CloudWatch, você pode adicionar esse grafo único a um painel e modificar intervalos de tempo, períodos e intervalos de atualização. Para obter mais informações, consulte Criar grafos de métricas no Guia do usuário do Amazon CloudWatch.

Interpretar os grafos

O AWS KMS fornece vários grafos para monitorar a integridade do armazenamento de chaves externas no console do AWS KMS. Esses grafos são configurados automaticamente e derivados de métricas do AWS KMS.

Os dados de grafos são coletados como parte das chamadas que você faz para o armazenamento de chaves externas e chaves externas. É possível ver grafos de preenchimento de dados durante um intervalo de tempo em que você não fez nenhuma chamada. Esses dados vêm das chamadas GetHealthStatus periódicas que o AWS KMS faz em seu nome para verificar o status do proxy de armazenamento de chaves externas e do gerenciador de chaves externas. Se os grafos exibirem a mensagem No data available (Nenhum dado disponível), não houve chamadas gravadas durante esse intervalo de tempo ou o armazenamento de chaves externas está no estado DISCONNECTED. Talvez você consiga identificar a hora em que o armazenamento de chaves externas foi desconectado ajustando a visualização para um intervalo de tempo mais amplo.

Total requests

O número total de solicitações do AWS KMS recebidas para um armazenamento de chaves externas específico durante um intervalo de tempo específico. Use esse grafo para determinar se você corre o risco de controle de utilização.

O AWS KMS recomenda que o gerenciador de chaves externas seja capaz de lidar com até 1.800 solicitações de operações de criptografia por segundo. Se você abordar 540 mil chamadas em um período de cinco minutos, correrá o risco de controle de utilização.

Você pode monitorar o número de solicitações de operações de criptografia em chaves do KMS em seu armazenamento de chaves externas que o AWS KMS restringe com a métrica ExternalKeyStoreThrottle.

Se você estiver recebendo erros KMSInvalidStateException muito frequentes com uma mensagem explicando que a solicitação foi rejeitada “due to a very high request rate” [devido a uma taxa de solicitação muito alta], isso pode indicar que o gerenciador de chaves externas ou o proxy de armazenamento de chaves externas não consegue acompanhar a taxa de solicitação atual. Se possível, reduza a taxa de solicitação. Considere também solicitar uma redução no valor da cota de solicitação de armazenamento de chaves personalizado. Diminuir esse valor de cota poderá aumentar o controle de utilização, mas indica que o AWS KMS está rejeitando solicitações em excesso rapidamente antes de serem enviadas ao proxy de armazenamento de chaves externas ou ao gerenciador de chaves externas. Para solicitar uma redução de cota, acesse o AWS Support Center e crie um caso.

O grafo do total de solicitações é derivado da métrica XksProxyErrors, que coleta dados sobre as respostas bem-sucedidas e malsucedidas que o AWS KMS recebe de seu proxy de armazenamento de chaves externas. Quando você visualiza um ponto de dados específico, o pop-up exibe o valor da dimensão CustomKeyStoreId junto com o número total de solicitações do AWS KMS registradas nesse ponto de dados. CustomKeyStoreId será sempre o mesmo.

Confiabilidade

A porcentagem de solicitações do AWS KMS para as quais o proxy do armazenamento de chaves externas retornou uma resposta bem-sucedida ou um erro sem nova tentativa. Use esse grafo para avaliar a integridade operacional do proxy de armazenamento de chaves externas.

Ao exibir um valor menor que 100%, o grafo indica casos em que o proxy não respondeu ou respondeu com um erro com nova tentativa. Isso pode indicar problemas com a rede, lentidão do proxy de armazenamento de chaves externas ou do gerenciador de chaves externas ou bugs de implementação.

Se a solicitação incluir uma credencial inválida e seu proxy responder com AuthenticationFailedException, o grafo ainda indicará 100% de confiabilidade porque o proxy identificou um valor incorreto na solicitação da API do proxy de armazenamento de chaves externas e, portanto, a falha é esperada. Se a porcentagem do grafo de confiabilidade for de 100%, o proxy de armazenamento de chaves externas estará respondendo conforme o esperado. Se o grafo exibir um valor menor que 100%, o proxy respondeu com um erro com nova tentativa ou atingiu o tempo limite. Por exemplo, se o proxy responder com ThrottlingException devido a uma taxa de solicitação muito alta, ele exibirá uma porcentagem de confiabilidade menor porque o proxy não conseguiu identificar um problema específico na solicitação que causou a falha. Isso ocorre porque os erros com nova tentativa provavelmente são problemas transitórios que podem ser resolvidos ao repetir a solicitação.

As respostas de erro a seguir reduzirão a porcentagem de confiabilidade. Você pode usar o grafo As cinco principais exceções e a métrica XksProxyErrors para monitorar ainda mais a frequência com que seu proxy retorna cada erro com nova tentativa.

O grafo de confiabilidade é derivado da métrica XksProxyErrors, que coleta dados sobre as respostas bem-sucedidas e malsucedidas que o AWS KMS recebe de seu proxy de armazenamento de chaves externas. A porcentagem de confiabilidade só diminuirá se a resposta tiver um valor ErrorType de Retryable. Quando você visualiza um ponto de dados específico, o pop-up exibe o valor da dimensão CustomKeyStoreId junto com o percentual de confiabilidade do AWS KMS registrados nesse ponto de dados. CustomKeyStoreId será sempre o mesmo.

Recomendamos usar a métrica XksProxyErrors para criar um alarme do CloudWatch que notifique você sobre possíveis problemas de redes, alertando quando mais de cinco erros com nova tentativa forem registrados no período de um minuto. Para ter mais informações, consulte Criar um alarme para erros passíveis de nova tentativa.

Latência

O número de milissegundos necessários para que um proxy de armazenamento de chaves externas responda a uma solicitação do AWS KMS. Use esse grafo para avaliar a performance do proxy de armazenamento de chaves externas e do gerenciador de chaves externas.

O AWS KMS espera que o proxy do armazenamento de chaves externas responda a cada solicitação em até 250 milissegundos. No caso de tempos limite de rede, o AWS KMS repetirá a solicitação uma vez. Se o proxy falhar pela segunda vez, a latência registrada será o limite de tempo limite combinado para as duas tentativas de solicitação, e o grafo exibirá aproximadamente 500 milissegundos. Em todos os outros casos em que o proxy não responder dentro do tempo limite de 250 milissegundos, a latência registrada será de 250 milissegundos. Se o proxy estiver frequentemente atingindo o tempo limite nas operações de criptografia e descriptografia, consulte seu administrador do proxy externo. Para obter ajuda na solução de problemas de latência, consulte Erros de latência e de tempo limite.

Respostas lentas também podem indicar que seu gerenciador de chaves externas não consegue lidar com o tráfego de solicitações atual. O AWS KMS recomenda que seu gerenciador de chaves externas seja capaz de lidar com até 1.800 solicitações de operações de criptografia por segundo. Se o gerenciador de chaves externas não conseguir lidar com a taxa de 1800 solicitações por segundo, considere solicitar uma redução na cota de solicitações de chaves do KMS em um armazenamento de chaves personalizado. As solicitações de operações de criptografia que usam as chaves do KMS em seu armazenamento de chaves externas se anteciparão à falha com uma exceção de controle de utilização, em vez de serem processadas e posteriormente rejeitadas pelo proxy de armazenamento de chaves externas ou pelo gerenciador de chaves externas.

O grafo de latência é derivado da métrica XksProxyLatency. Quando você visualiza um ponto de dados específico, o pop-up exibe os valores correspondentes de dimensão KmsOperation e XksOperation junto com a latência média registrada para as operações no ponto de dados. Os itens da lista são ordenados da maior para a menor latência.

Recomenda-se usar a métrica XksProxyLatency para criar um alarme do CloudWatch que envie uma notificação quando a latência estiver se aproximando do tempo limite. Para ter mais informações, consulte Criar um alarme para tempo limite de resposta.

As cinco principais exceções

As cinco principais exceções para falhas nas operações de criptografia e de gerenciamento durante um intervalo de tempo específico. Use esse grafo para rastrear os erros mais frequentes e poder priorizar seus esforços de engenharia.

Essa contagem inclui as exceções que o AWS KMS recebeu do proxy de armazenamento de chaves externas e a XksProxyUnreachableException que o AWS KMS retorna internamente quando não consegue estabelecer comunicação com o proxy de armazenamento de chaves externas.

Altas taxas de erros com nova tentativa podem indicar erros de redes, enquanto altas taxas de erros sem nova tentativa podem indicar um problema com a configuração do armazenamento de chaves externas. Por exemplo, um pico de entrada em AuthenticationFailedExceptions indica uma discrepância entre as credenciais de autenticação configuradas no AWS KMS e o proxy de armazenamento de chaves externas. Para visualizar a configuração do armazenamento de chaves externas, consulte Visualizar repositórios de chaves externos. Para editar suas configurações de armazenamento de chaves externas, consulte Editar propriedades do repositório de chaves externo.

As exceções que o AWS KMS recebe do proxy de armazenamento de chaves externas são diferentes das exceções que o AWS KMS retorna quando uma operação falha. As operações criptográficas do AWS KMS retornam uma KMSInvalidStateException para todas as falhas relacionadas à configuração externa ou ao estado de conexão do armazenamento de chaves externas. Para identificar o problema, use o texto da mensagem de erro que o acompanha.

A tabela a seguir mostra as exceções que podem aparecer no grafo das cinco principais exceções e as exceções correspondentes que o AWS KMS retorna para você.

O grafo das cinco principais exceções é derivado da métrica XksProxyErrors. Quando você visualiza um ponto de dados específico, o pop-up exibe o valor da dimensão ExceptionName junto com o número de vezes que a exceção foi registrada no ponto de dados. Os cinco itens da lista são ordenados da exceção mais frequente para a menos frequente.

Recomendamos usar a métrica XksProxyErrors para criar um alarme do CloudWatch que notifique você sobre possíveis problemas de configuração, alertando quando mais de cinco erros sem nova tentativa forem registrados no período de um minuto. Para ter mais informações, consulte Criar um alarme para erros não passíveis de nova tentativa.

Dias para o certificado expirar

O número de dias até o certificado TLS do endpoint do proxy de armazenamento de chaves externas (XksProxyUriEndpoint) expirar. Use esse grafo para monitorar a próxima expiração de seu certificado TLS.

Quando o certificado expira, o AWS KMS não consegue se comunicar com o proxy de armazenamento de chaves externas. Todos os dados protegidos por chaves do KMS em seu armazenamento de chaves externas ficarão inacessíveis até você renovar o certificado.

O grafo de dias até a expiração do certificado é derivado da métrica XksProxyCertificateDaysToExpire. É altamente recomendável usar essa métrica para criar um alarme do CloudWatch que notifique sobre a próxima expiração. A expiração do certificado pode impedir que você acesse os recursos criptografados. Defina o alarme para dar tempo para a sua organização renovar o certificado antes que ele expire. Para ter mais informações, consulte Criar um alarme para expiração de certificado.