Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Regeln zur Aktivierung der Telemetrie

Sie können Regeln zur Aktivierung der Telemetrie erstellen, um die Telemetrieerfassung für Ihre Ressourcen automatisch zu konfigurieren. AWS Regeln helfen Ihnen dabei, die Telemetrieerfassung in Ihrem Unternehmen oder Ihren Konten zu standardisieren und eine konsistente Überwachungsabdeckung sicherzustellen.

Wie funktionieren Regeln

Die Telemetriekonfiguration folgt bestimmten Mustern bei der Bewertung und Anwendung von Regeln.

Hierarchie der Regelbewertung

Aktivierungsregeln werden nach einem Hierarchiemuster bewertet. Zuerst werden die Organisationsregeln bewertet, dann die für Organisationseinheiten (OUs) geltenden Regeln und zuletzt die für einzelne Konten geltenden Regeln. Regeln auf Organisationsebene stellen die Telemetriegrundlage bereit, die für Ihre Organisation erforderlich ist. Regeln auf OU- und Kontoebene können zusätzliche Telemetriedaten, aber nicht weniger Telemetriedaten erfassen. Wird eine solche Regel erstellt, führt das zu einem Regelkonflikt.

Innerhalb jedes Bereichs (Organisation, Organisationseinheit oder Konto) müssen Regeln je nach Ressourcentyp, Telemetrietyp und Zielkonfiguration einzigartig bleiben. Duplizierte Regeln lösen eine Konfliktausnahme aus. Wenn dieselbe Regel in verschiedenen Bereichen existiert, z. B. eine Regel auf Organisationsebene für Amazon VPC Flow-Protokolle für Amazon VPC Flow-Protokolle CloudWatch und eine Regel auf OU-Ebene für Amazon VPC Flow-Protokolle, wird die Regel angewendet, die höher in der Hierarchie steht. Wenn es jedoch mehrere widersprüchliche Regeln gibt, wird keine der Regeln angewendet.

Wenn mehrere Regeln für dieselbe Ressource gelten, löst die Telemetriekonfiguration Konflikte basierend auf den folgenden Prioritäten:

Verhalten der Regeln bei Updates

Wenn Sie eine Aktivierungsregel aktualisieren, übernehmen nur neue Ressourcen, die der Regel entsprechen, die aktualisierte Konfiguration. Die vorhandenen Telemetrieeinstellungen für vorhandene Ressourcen bleiben unverändert. Wenn eine Ressource aufgrund des manuellen Löschens von Telemetriedaten eine bestehende Regel nicht mehr einhält, wird die neue Aktivierungsregel übernommen, nachdem die Ressource wieder den Anforderungen entspricht.

Für Amazon VPC Flow-Protokolle erstellt die Telemetriekonfiguration nur neue Flow-Protokolle für Ressourcen, die dem Regelbereich entsprechen. Zuvor erstellte Amazon VPC Flow-Protokolle werden nicht gelöscht oder beeinträchtigt, auch wenn sie von den aktuellen Regelparametern abweichen. Bei CloudWatch Protokollen werden bestehende Protokollgruppen beibehalten, sofern sie dem Ressourcenmuster entsprechen.

Integration in AWS Config

CloudWatch Die Telemetrieüberwachung und -konfiguration ist integriert AWS Config , sodass automatisch Ressourcen erkannt werden, die Ihrer Aktivierungsregel entsprechen, und sie auf Ihre Telemetriedatenerfassung anwenden. Wenn Sie eine Aktivierungsregel erstellen, erstellt die Telemetriekonfiguration einen entsprechenden Rekorder. AWS Config Dieser Recorder enthält Konfigurationselemente für die spezifischen Ressourcentypen, die Sie in der Aktivierungsregel definieren.

Amazon CloudWatch verwendet den mit dem Dienst AWS Config Internal verbundenen Rekorder. CIs, die als Teil des Internal Service Linked Recorders CloudWatch verwenden, werden Ihnen nicht in Rechnung gestellt.

Die Telemetriekonfiguration dient AWS Config dazu:

Regionsübergreifende Regeln

Wenn Sie eine Regel mit Zielregionen erstellen, wird die aktuelle Region zur Hauptregion für diese Regel. Die Regel wird automatisch auf die von Ihnen ausgewählten Spoke-Regionen repliziert.

Wichtige Konzepte für Regeln mit mehreren Regionen:

Wenn eine replizierte Regel in einer Spoke-Region erstellt, aktualisiert oder gelöscht wird, wird eine AwsServiceEvent in der Spoke-Region AWS CloudTrail aufgezeichnet. Diese Ereignisse werden observabilityadmin.amazonaws.com als aufrufender Dienst protokolliert und enthalten den Regel-ARN in der Spoke-Region. Sie können diese Ereignisse verwenden, um die Aktivität der Regelreplikation in mehreren Regionen zu überwachen.

Das Folgende ist ein Beispiel für ein AWS CloudTrail Ereignis, das aufgezeichnet wird, wenn eine replizierte Regel in einer Spoke-Region erstellt wird:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

Das eventName Feld gibt den Vorgang wieder, der mit der replizierten Regel ausgeführt wurde: CreateTelemetryRuleUpdateTelemetryRule, oder. DeleteTelemetryRule Das eventType liegt immer AwsServiceEvent daran, dass der Vorgang vom ObservabilityAdmin Service im Namen des Kunden ausgeführt wird, nicht durch einen direkten API-Aufruf des Kunden.

Eine Regel zur Aktivierung der Telemetrie erstellen

Beim Erstellen einer Regel zu Aktivierung der Telemetrie geben Sie Folgendes an:

Verwalten der Telemetrieregeln

Nach dem Erstellen von Regeln können Sie diese bearbeiten oder löschen. Sie können auch sehen, auf welche Ressourcen sich jede Regel auswirkt, und die Einhaltung der Regeln überwachen.

Verwaltung replizierter Regeln

Wenn Sie eine replizierte Regel in einer Spoke-Region anzeigen, zeigt die Konsole eine Informationswarnung an, die darauf hinweist, dass die Regel aus einer anderen Region repliziert wurde. Die Aktionen Regel bearbeiten und Löschen sind für replizierte Regeln in Spoke-Regionen deaktiviert.

Um eine replizierte Regel zu bearbeiten oder zu löschen, navigieren Sie zu der Heimatregion, in der die Regel ursprünglich erstellt wurde. Die Heimatregion wird in der Informationswarnung angezeigt.

Sie können Stichwörter zu replizierten Regeln in Spoke-Regionen hinzufügen oder ändern. In Spoke-Regionen vorgenommene Tag-Änderungen gelten nur für die lokale Kopie der Regel und werden nicht zurück in die Heimatregion repliziert.

Verschlüsselung von Protokollgruppen mit vom Kunden verwalteten Schlüsseln

Sie können Protokollgruppen, die anhand von Regeln zur Aktivierung der Telemetrie erstellt wurden, mithilfe eines vom Kunden verwalteten Schlüssels verschlüsseln. AWS KMS Durch das Verschlüsseln von Protokollgruppen mit einem vom Kunden verwalteten Schlüssel haben Sie die Kontrolle über die Schlüsselrotation und können Compliance-Anforderungen erfüllen. Wenn Sie in der Zielkonfiguration Ihrer Regel einen AWS KMS Schlüssel-ARN angeben, CloudWatch wird der Schlüssel automatisch jeder Protokollgruppe zugeordnet, die während der Wiederherstellung erstellt wurde.

Anforderungen für KMS-Schlüssel

Erforderliche KMS-Schlüsselrichtlinie

Ihre AWS KMS Schlüsselrichtlinie muss es dem CloudWatch Logs-Dienst ermöglichen, den Schlüssel für die Verschlüsselung zu verwenden. Fügen Sie Ihrer Schlüsselrichtlinie die folgende Aussage hinzu:

{
    "Sid": "AllowCloudWatchLogsToUseKey",
    "Effect": "Allow",
    "Principal": { "Service": "logs.amazonaws.com" },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceOrgID": "your-organization-id"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:*:*:log-group:*"
        }
    }
}

your-organization-idErsetzen Sie es durch Ihre AWS Organizations Organisations-ID. Die aws:SourceOrgID Bedingung stellt sicher, dass nur Konten in Ihrer Organisation den Schlüssel für die Verschlüsselung von Protokollgruppen verwenden können.

Service-linked Rollen, Berechtigungen für die Verschlüsselung

Für die dienstgebundene Rolle „Telemetrieregeln“ sind zusätzliche Berechtigungen erforderlich, um die AWS KMS Schlüsselverschlüsselung zu unterstützen. Die folgenden Berechtigungen werden der dienstverknüpften Rolle automatisch hinzugefügt, wenn Sie die AWS KMS Verschlüsselung mit Telemetrieregeln verwenden:

So funktionieren Schlüssel für mehrere Regionen mit Telemetrieregeln

Multi-Region AWS KMS Schlüssel haben in allen Regionen dieselbe Schlüssel-ID. Wenn eine Telemetrieregel mit einem AWS KMS Schlüssel in mehreren Regionen angewendet wird, löst der Service den Schlüssel-ARN automatisch für die Zielregion auf. Wenn Sie beispielsweise den Schlüssel-ARN angeben arn:aws:kms:us-east-1:123456789012:key/mrk-1234abcd und die Regel eine Protokollgruppe in erstellteu-west-1, verwendet der Dienst diese arn:aws:kms:eu-west-1:123456789012:key/mrk-1234abcd für die Verschlüsselung in dieser Region.

Sie müssen sicherstellen, dass der Schlüssel für mehrere Regionen in allen Regionen repliziert wird, in denen die Regel gilt. Wenn der Schlüssel nicht in eine Zielregion repliziert wurde, schlägt die Wiederherstellung der Ressourcen in dieser Region fehl und der Dienst wiederholt den Vorgang.

Verschlüsselungseinstellungen werden aktualisiert

Wenn Sie eine Regel aktualisieren, um einen AWS KMS Schlüssel hinzuzufügen, wendet der Dienst den Schlüssel nur auf Protokollgruppen an, die die Regel nach dem Update erstellt. Der Dienst verschlüsselt keine rückwirkenden Protokollgruppen, die die Regel erstellt hat, bevor Sie den Schlüssel hinzugefügt haben.

Wenn Sie den AWS KMS Schlüssel-ARN aus einer Regel entfernen, ändert der Dienst die Verschlüsselungskonfiguration, die er zuvor auf die verwalteten Protokollgruppen der Regel angewendet hat.

Unterstützte Datenquellen

Die folgenden Datenquellen werden von Regeln zur Aktivierung der Telemetrie unterstützt. Für jede Datenquelle gelten spezifische Verhaltens- und Konfigurationsaspekte.