为外部密钥存储创建 CloudWatch 警报 - AWS Key Management Service
创建证书到期警报创建响应超时警报创建可重试错误警报创建不可重试错误警报

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为外部密钥存储创建 CloudWatch 警报

您可以根据外部密钥存储指标创建 Amazon CloudWatch 警报，以便在指标值超过您指定的阈值时通知您。警报可以将消息发送到 Amazon Simple Notification Service（Amazon SNS）主题或 Amazon EC2 Auto Scaling 策略。有关 CloudWatch 警报的详细信息，请参阅《Amazon CloudWatch 用户指南》中的使用 Amazon CloudWatch 警报。

创建 Amazon CloudWatch 警报之前，需要一个 Amazon SNS 主题。有关详细信息，请参阅 Amazon CloudWatch CloudWatch 用户指南中的创建 Amazon SNS 主题。

创建证书到期警报

此警报使用 AWS KMS 发布到 CloudWatch 的 XksProxyCertificateDaysToExpire 指标来记录与外部密钥存储代理端点关联的 TLS 证书的预期过期时间。您无法为账户中的所有外部密钥存储创建单个警报，也无法为将来可能会创建的外部密钥存储创建警报。

我们建议将警报设置为在证书将要过期的前 10 天提醒您，但您应设置最适合您需求的阈值。

创建警报

使用以下必填值，按照基于静态阈值创建 CloudWatch 警报中的说明进行操作。对于其他字段，请接受默认值并按要求提供名称。

Field Value
选择指标

选择 KMS，然后选择 XKS Proxy Certificate Metrics（XKS 代理证书指标）。

选中要监控的 XksProxyCertificateName 旁的复选框。

然后选择选择指标。
Statistic 最低
周期 5 分钟
阈值类型 静态
当 ... 每当 XksProxyCertificateDaysToExpire Lower 10 时。

创建响应超时警报

此警报使用 AWS KMS 发布到 CloudWatch 的 XksProxyLatency 指标来记录外部密钥存储代理响应 AWS KMS 请求所需的毫秒数。您无法为账户中的所有外部密钥存储创建单个警报，也无法为将来可能会创建的外部密钥存储创建警报。

AWS KMS 希望外部密钥存储代理在 250 毫秒内响应每个请求。我们建议设置警报，以在外部密钥存储代理响应时间超过 200 毫秒时提醒您，但您应该设置最适合您需求的阈值。

创建警报

使用以下必填值，按照基于静态阈值创建 CloudWatch 警报中的说明进行操作。对于其他字段，请接受默认值并按要求提供名称。

Field Value
选择指标

选择 KMS，然后选择 XKS Proxy Latency Metrics（XKS 代理延迟指标）。

选中要监控的 KmsOperation 旁的复选框。

然后选择 Select metric（选择指标）。
Statistic 平均值
周期 5 分钟
阈值类型 静态
当 ... 每当 XksProxyLatency Greater 200 时。

创建可重试错误警报

此警报使用 AWS KMS 发布到 CloudWatch 的 XksProxyErrors 指标来记录与向外部密钥存储代理发出的 AWS KMS 请求相关的异常数量。您无法为账户中的所有外部密钥存储创建单个警报，也无法为将来可能会创建的外部密钥存储创建警报。

可重试错误会降低您的可靠性百分比，并可能表示网络错误。我们建议设置警报，以在一分钟内记录超过五个可重试错误时提醒您，但您应该设置最适合您需求的阈值。

使用以下必填值，按照基于静态阈值创建 CloudWatch 警报中的说明进行操作。对于其他字段，请接受默认值并按要求提供名称。

Field Value
选择指标

选择 Query（查询）选项卡。

对于 Namespace（命名空间），选择 AWS/KMS。

对于 Metric name（指标名称），输入 SUM(XksProxyErrors)。

对于 Filter by（筛选条件），输入 ErrorType = Retryable。

选择运行。然后选择选择指标。
标签 可重试错误
周期 1 minute
阈值类型 静态
当 ... 每当 q1 Greater 5 时。

创建不可重试错误警报

此警报使用 AWS KMS 发布到 CloudWatch 的 XksProxyErrors 指标来记录与向外部密钥存储代理发出的 AWS KMS 请求相关的异常数量。您无法为账户中的所有外部密钥存储创建单个警报，也无法为将来可能会创建的外部密钥存储创建警报。

不可重试错误可能表示您的外部密钥存储的配置存在问题。我们建议设置警报，以在一分钟内记录超过五个不可重试错误时提醒您，但您应该设置最适合您需求的阈值。

使用以下必填值，按照基于静态阈值创建 CloudWatch 警报中的说明进行操作。对于其他字段，请接受默认值并按要求提供名称。

Field Value
选择指标

选择 Query（查询）选项卡。

对于 Namespace（命名空间），选择 AWS/KMS。

对于 Metric name（指标名称），输入 SUM(XksProxyErrors)。

对于 Filter by（筛选条件），输入 ErrorType = Non-retryable。

选择运行。然后选择 Select metric（选择指标）。
标签 不可重试错误
周期 1 minute
阈值类型 静态
当 ... 每当 q1 Greater 5 时。