Benachrichtigen von Benutzern über Alarmänderungen

In diesem Abschnitt wird erklärt, wie Sie AWS-Benutzerbenachrichtigungen oder Amazon Simple Notification Service verwenden können, um Benutzer über Alarmänderungen zu informieren.

Einrichten von AWS-Benutzerbenachrichtigungen

Sie können AWS-Benutzerbenachrichtigungen verwenden, um Zustellungskanäle einzurichten, die über CloudWatch-Alarmzustandsänderungen und Konfigurationsänderungen informieren.. Sie erhalten eine Benachrichtigung, wenn ein Ereignis einer von Ihnen angegebenen Regel entspricht. Sie können Benachrichtigungen für Ereignisse über mehrere Kanäle erhalten, einschließlich E-Mail, AWS-Chatbot-Chat-Benachrichtigungen oder Push-Benachrichtigungen der mobilen AWS-Konsolenanwendung. Benachrichtigungen werden auch im Console Notifications Center angezeigt. Die Funktion für Benutzerbenachrichtigungen unterstützt eine Aggregation, wodurch die Anzahl der Benachrichtigungen, die Sie bei bestimmten Ereignissen erhalten, reduziert werden kann.

Die Benachrichtigungskonfigurationen, die Sie mit den AWS-Benutzerbenachrichtigungen erstellen, zählen nicht zur Begrenzung der Anzahl der Aktionen, die Sie pro Zielalarmstatus konfigurieren können. Da AWS-Benutzerbenachrichtigungen mit den an Amazon EventBridge gesendeten Ereignissen übereinstimmen, werden Benachrichtigungen für alle Alarme in Ihrem Konto und ausgewählten Regionen gesendet, es sei denn, Sie geben einen erweiterten Filter an, um bestimmte Alarme oder Muster zuzulassen oder abzulehnen.

Das folgende Beispiel für einen erweiterten Filter entspricht einer Änderung des Alarmstatus von OK zu ALARM bei dem Alarm namens ServerCpuTooHigh.

{
"detail": {
    "alarmName": ["ServerCpuTooHigh"],
    "previousState": { "value": ["OK"] },
    "state": { "value": ["ALARM"] }
  }
}

Sie können alle Eigenschaften verwenden, die durch einen Alarm in EventBridge-Ereignissen veröffentlicht wurden, um einen Filter zu erstellen. Weitere Informationen finden Sie unter Alarmereignisse und EventBridge.

Einrichten von Amazon-SNS-Benachrichtigungen

Sie können Amazon Simple Notification Service verwenden, um sowohl Nachrichten von Anwendung zu Anwendung (A2A) als auch von Anwendung zu Person (A2P) zu versenden, einschließlich mobiler Textnachrichten (SMS) und E-Mail-Nachrichten. Weitere Informationen finden Sie unter Amazon-SNS-Ereignisziele.

Für jeden Zustand, den ein Alarm annehmen kann, können Sie den Alarm so konfigurieren, dass er eine Nachricht an ein SNS-Thema sendet. Jedes Amazon-SNS-Thema, das Sie für einen Status eines bestimmten Alarms konfigurieren, zählt zur Begrenzung der Anzahl der Aktionen, die Sie für diesen Alarm und diesen Status konfigurieren können. Sie können Nachrichten an dasselbe Amazon-SNS-Thema von allen Alarmen in Ihrem Konto aus senden und dasselbe Amazon-SNS-Thema sowohl für Anwendungs- (A2A) als auch für Personenkunden (A2P) verwenden. Da diese Konfiguration auf Alarmebene vorgenommen wird, senden nur die von Ihnen konfigurierten Alarme Nachrichten an das ausgewählte Amazon-SNS-Thema.

Zunächst erstellen und abonnieren Sie ein Thema. Sie können optional eine Testnachricht für das Thema veröffentlichen. Ein Beispiel finden Sie unter Einrichten eines Amazon-SNS-Themas mit AWS-Managementkonsole. Weitere Informationen finden Sie auch unter Erste Schritte mit Amazon SNS.

Wenn Sie planen, die AWS-Managementkonsole für die Erstellung Ihres CloudWatch-Alarms zu verwenden, können Sie diesen Vorgang auch überspringen, denn Sie können das Thema erstellen, wenn Sie den Alarm erstellen.

Wenn Sie einen CloudWatch-Alarm erstellen, können Sie Aktionen für jeden Zielstatus, in den der Alarm eintritt, Aktionen hinzufügen. Fügen Sie eine Amazon-SNS-Benachrichtigung für den Status hinzu, über den Sie benachrichtigt werden möchten, und wählen Sie das Amazon-SNS-Thema, das Sie im vorherigen Schritt erstellt haben, um eine E-Mail-Benachrichtigung zu senden, wenn der Alarm in den ausgewählten Status eintritt.

Verhindern von Confused-Deputy-Sicherheitsproblemen

Das Confused-Deputy-Problem ist ein Sicherheitsproblem, bei dem eine Entität, die nicht über die Berechtigung zum Ausführen einer Aktion verfügt, eine Entität mit größeren Rechten zwingen kann, die Aktion auszuführen. In AWS kann der serviceübergreifende Identitätswechsel zu Confused-Deputy-Problem führen. Ein dienstübergreifender Identitätswechsel kann auftreten, wenn ein Dienst (der Anruf-Dienst) einen anderen Dienst anruft (den aufgerufenen Dienst). Der aufrufende Service kann manipuliert werden, um seine Berechtigungen zu verwenden, um Aktionen auf die Ressourcen eines anderen Kunden auszuführen, für die er sonst keine Zugriffsberechtigung haben sollte. Um dies zu verhindern, bietet AWS Tools, mit denen Sie Ihre Daten für alle Services mit Serviceprinzipalen schützen können, die Zugriff auf Ressourcen in Ihrem Konto erhalten haben.

Wir empfehlen die Verwendung der globalen Bedingungskontextschlüssel aws:SourceArn, aws:SourceAccount, aws:SourceOrgID und aws:SourceOrgPaths in ressourcenbasierten Richtlinien, um die Berechtigungen, die Amazon SNS einem anderen Service erteilt, auf eine bestimmte Ressource zu beschränken. Verwenden Sie aws:SourceArn, um nur einer Ressource den serviceübergreifenden Zugriff zuzuordnen. Verwenden Sie aws:SourceAccount, um jede Ressource in diesem Konto der serviceübergreifenden Nutzung zuzuordnen. Verwenden Sie aws:SourceOrgID, damit alle Ressourcen von allen Konten innerhalb einer Organisation der serviceübergreifenden Nutzung zugeordnet werden können. Verwenden Sie aws:SourceOrgPaths, um beliebige Ressourcen von Konten innerhalb eines AWS Organizations-Pfades der serviceübergreifenden Nutzung zuzuordnen. Weitere Informationen zu Pfaden und deren Verwendung finden Sie unter aws:SourceOrgPaths im IAM-Benutzerhandbuch.

Der effektivste Weg, um sich vor dem Confused-Deputy-Problem zu schützen, ist die Verwendung des globalen Bedingungskontext-Schlüssels aws:SourceArn mit dem vollständigen ARN der Ressource. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den globalen Kontextbedingungsschlüssel aws:SourceArn mit Platzhalterzeichen (*) für die unbekannten Teile des ARN. Beispiel, arn:aws:servicename:*:123456789012:*.

Wenn der aws:SourceArn-Wert die Konto-ID nicht enthält, z. B. einen Amazon-S3-Bucket-ARN, müssen Sie sowohl aws:SourceAccount als auch aws:SourceArn verwenden, um Berechtigungen einzuschränken.

Um sich vor dem Confused-Deputy-Problem im großen Maßstab zu schützen, verwenden Sie den globalen Bedingungskontextschlüssel aws:SourceOrgID oder aws:SourceOrgPaths mit der Organisations-ID oder dem Organisationspfad der Ressource in Ihren ressourcenbasierten Richtlinien. Richtlinien, die den Schlüssel aws:SourceOrgID oder aws:SourceOrgPaths enthalten, schließen automatisch die richtigen Konten ein und Sie müssen die Richtlinien nicht manuell aktualisieren, wenn Sie Konten in Ihrer Organisation hinzufügen, entfernen oder verschieben.

Der Wert von aws:SourceArn muss der ARN des Alarms sein, der Benachrichtigungen versendet.

Das folgende Beispiel zeigt, wie Sie die globalen Bedingungskontextschlüssel aws:SourceArn und aws:SourceAccount in CloudWatch verwenden können, um das Confused-Deputy-Problem zu vermeiden.

{
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "Service": "cloudwatch.amazonaws.com"
        },
        "Action": "SNS:Publish",
        "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
        "Condition": {
            "ArnLike": {
                "aws:SourceArn": "arn:aws:cloudwatch:us-east-2:111122223333:alarm:*"
            },
            "StringEquals": {
                "aws:SourceAccount": "111122223333"
            }
        }
    }]
}

Wenn ein Alarm-ARN irgendwelche Nicht-ASCII-Zeichen enthält, verwenden Sie nur den globalen Bedingungsschlüssel aws:SourceAccount zur Begrenzung der Berechtigungen.

Einrichten eines Amazon-SNS-Themas mit AWS-Managementkonsole

Zunächst erstellen und abonnieren Sie ein Thema. Sie können optional eine Testnachricht für das Thema veröffentlichen.

Einrichten eines SNS-Themas mit AWS CLI

Zuerst erstellen Sie ein SNS-Thema und veröffentlichen dann eine Nachricht direkt an das Thema, um zu testen, ob Sie es richtig konfiguriert haben.

Schema der Amazon-SNS-Benachrichtigungen, wenn sich der Alarmstatus ändert

In diesem Abschnitt sind die Schemas der Benachrichtigungen aufgeführt, die an Amazon-SNS-Themen gesendet werden, wenn sich der Alarmstatus ändert.

Schema, wenn sich der Status eines Metrikalarms ändert

{
  "AlarmName": "string",
  "AlarmDescription": "string",
  "AWSAccountId": "string",
  "AlarmConfigurationUpdatedTimestamp": "string",
  "NewStateValue": "string",
  "NewStateReason": "string",
  "StateChangeTime": "string",
  "Region": "string",
  "AlarmArn": "string",
  "OldStateValue": "string",
  "OKActions": ["string"],
  "AlarmActions": ["string"],
  "InsufficientDataActions": ["string"],
  "Trigger": {
    "MetricName": "string",
    "Namespace": "string",
    "StatisticType": "string",
    "Statistic": "string",
    "Unit": "string or null",
    "Dimensions": [
      {
        "value": "string",
        "name": "string"
      }
    ],
    "Period": "integer",
    "EvaluationPeriods": "integer",
    "DatapointsToAlarm": "integer",
    "ComparisonOperator": "string",
    "Threshold": "number",
    "TreatMissingData": "string",
    "EvaluateLowSampleCountPercentile": "string or null"
  }
}

Schema, wenn sich der Status eines zusammengesetzten Alarms ändert

{
  "AlarmName": "string",
  "AlarmDescription": "string",
  "AWSAccountId": "string",
  "NewStateValue": "string",
  "NewStateReason": "string",
  "StateChangeTime": "string",
  "Region": "string",
  "AlarmArn": "string",
  "OKActions": [String],
  "AlarmActions": [String],
  "InsufficientDataActions": [String],
  "OldStateValue": "string",
  "AlarmRule": "string",
  "TriggeringChildren": [String]
}