建立外部金鑰存放區的 CloudWatch 警示 - AWS Key Management Service
建立憑證過期的警示建立回應逾時的警示建立可重試錯誤的警示建立不可重試錯誤的警示

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立外部金鑰存放區的 CloudWatch 警示

您可以根據外部金鑰存放區指標建立 Amazon CloudWatch 警示，以便在指標值超過您指定的閾值時通知您。警示可以將訊息傳送至 Amazon Simple Notification Service （Amazon SNS） 主題或 Amazon EC2 Auto Scaling 政策 。如需 CloudWatch 警示的詳細資訊，請參閱 Amazon 使用者指南 中的使用 Amazon CloudWatch 警示。 CloudWatch

在建立 Amazon CloudWatch 警示之前，您需要 Amazon SNS主題。如需詳細資訊，請參閱 Amazon 使用者指南 中的建立 Amazon SNS主題。 CloudWatch

建立憑證過期的警示

此警示會使用發佈至 的XksProxyCertificateDaysToExpire AWS KMS 指標 CloudWatch ，來記錄與外部金鑰存放區代理端點相關聯的TLS憑證預期過期時間。您無法為您帳戶中的所有外部金鑰存放區建立單一警示，也不能為您將來可能建立的外部金鑰存放區建立警示。

我們建議設定警示，以便在憑證設定到期的前 10 天提醒您，但您應該設定最符合您需求的閾值。

建立警示

使用下列必要值，遵循根據靜態閾值建立 CloudWatch 警示中的指示。對於其他欄位，請接受預設值，並按要求提供名稱。

欄位 Value
選取指標

選擇 KMS，然後選擇XKS代理憑證指標 。

選取您想要監控的 XksProxyCertificateName 旁的核取方塊。

然後選擇 Select metric (選取指標)。
統計數字 下限
期間 5 分鐘
閾值類型 靜態
Whenever ... 每XksProxyCertificateDaysToExpire當 Lower超過 時10。

建立回應逾時的警示

此警示會使用 AWS KMS 發佈至 CloudWatch 的XksProxyLatency指標，記錄外部金鑰存放區代理回應 AWS KMS 請求所需的毫秒數。您無法為您帳戶中的所有外部金鑰存放區建立單一警示，也不能為您將來可能建立的外部金鑰存放區建立警示。

AWS KMS 預期外部金鑰存放區代理會在 250 毫秒內回應每個請求。我們建議您設定警示，以便在外部金鑰存放區代理的回應時間超過 200 毫秒時提醒您，但您應該設定最符合您需求的閾值。

建立警示

使用下列必要值，遵循根據靜態閾值建立 CloudWatch 警示中的指示。對於其他欄位，請接受預設值，並按要求提供名稱。

欄位 Value
選取指標

選擇 KMS，然後選擇XKS代理延遲指標 。

選取您想要監控的 KmsOperation 旁的核取方塊。

然後選擇 Select metric (選取指標)。
統計數字 平均數
期間 5 分鐘
閾值類型 靜態
Whenever ... 每XksProxyLatency當 Greater超過 時200。

建立可重試錯誤的警示

此警示使用 AWS KMS 發佈至 的XksProxyErrors指標 CloudWatch ，記錄與外部金鑰存放區代理 AWS KMS 請求相關的例外狀況數目。您無法為您帳戶中的所有外部金鑰存放區建立單一警示，也不能為您將來可能建立的外部金鑰存放區建立警示。

可重試的錯誤會降低您的可靠性百分比，並可指示網路錯誤。我們建議您設定警示，以便在一分鐘內記錄五個以上的可重試錯誤時提醒您，但您應該設定最符合您需求的閾值。

使用下列必要值，遵循根據靜態閾值建立 CloudWatch 警示中的指示。對於其他欄位，請接受預設值，並按要求提供名稱。

欄位 Value
選取指標

選擇 Queries (查詢) 索引標籤。

將 Namespace (命名空間) 選為 AWS/KMS。

針對 Metric name (指標名稱)，輸入 SUM(XksProxyErrors)。

針對 Filter by (篩選依據)，輸入 ErrorType = Retryable。

選擇執行。然後選擇 Select metric (選取指標)。
標籤 Retryable errors
期間 1 分鐘
閾值類型 靜態
Whenever ... 每當 q1 Greater 5 時。

建立不可重試錯誤的警示

此警示使用 AWS KMS 發佈至 的XksProxyErrors指標 CloudWatch ，記錄與外部金鑰存放區代理 AWS KMS 請求相關的例外狀況數目。您無法為您帳戶中的所有外部金鑰存放區建立單一警示，也不能為您將來可能建立的外部金鑰存放區建立警示。

不可重試的錯誤表示外部金鑰存放區的組態有問題。我們建議您設定警示，以便在一分鐘內記錄五個以上的不可重試錯誤時提醒您，但您應該設定最符合您需求的閾值。

使用下列必要值，遵循根據靜態閾值建立 CloudWatch 警示中的指示。對於其他欄位，請接受預設值，並按要求提供名稱。

欄位 Value
選取指標

選擇 Queries (查詢) 索引標籤。

將 Namespace (命名空間) 選為 AWS/KMS。

針對 Metric name (指標名稱)，輸入 SUM(XksProxyErrors)。

針對 Filter by (篩選依據)，輸入 ErrorType = Non-retryable。

選擇執行。然後選擇 Select metric (選取指標)。
標籤 Non-retryable errors
期間 1 分鐘
閾值類型 靜態
Whenever ... 每當 q1 Greater 5 時。