Reglas de habilitación de telemetría

Puede crear reglas de activación de telemetría para configurar automáticamente la recopilación de telemetría para sus recursos de AWS. Las reglas le ayudan a estandarizar la recopilación de telemetría en toda su organización o sus cuentas y a garantizar una cobertura de supervisión coherente.

Funcionamiento de las reglas

La configuración de telemetría sigue patrones específicos al evaluar y aplicar reglas.

Jerarquía de evaluación de reglas

Las reglas de activación se evalúan según un patrón jerárquico. Primero se evalúan las reglas organizativas, seguidas de las reglas que se aplican a las unidades organizativas (OU) y, por último, las reglas que se aplican a las cuentas individuales. Las reglas por organización proporcionan la telemetría básica requerida para la organización. Las reglas por unidad organizativa y cuenta pueden recopilar datos de telemetría adicionales, pero no pueden recopilar menos datos de telemetría. Si se crea una regla de este tipo, se generará un conflicto de reglas.

Dentro de cada ámbito (organización, unidad organizativa o cuenta), las reglas deben mantener la exclusividad en función del tipo de recurso, el tipo de telemetría y la configuración de destino. Las reglas duplicadas generan una excepción de conflicto. Si la misma regla existe en ámbitos diferentes, como una regla de nivel de organización para los registros de flujos de Amazon VPC en CloudWatch y una regla por unidad organizativa para los registros de flujos de Amazon VPC, se aplica la regla más alta de la jerarquía. Sin embargo, si existen varias reglas en conflicto, no se aplica ninguna de las reglas.

Cuando se aplican varias reglas al mismo recurso, la configuración de telemetría resuelve los conflictos según estas prioridades:

Comportamiento de las reglas en las actualizaciones

Si actualiza una regla de habilitación, solo los recursos nuevos que coincidan con la regla adoptan la configuración actualizada. La configuración de telemetría existente permanece sin cambios para los recursos ya existentes. Si un recurso deja de cumplir una regla existente debido a la eliminación manual de los datos de telemetría, la nueva regla de activación se adopta una vez que el recurso vuelve a ser conforme.

Para Registros de flujo de Amazon VPC, la configuración de telemetría solo crea nuevos registros de flujo para los recursos que coinciden con el ámbito de la regla. No elimina ni afecta los registros de flujo de Amazon VPC ya existentes, incluso si difieren de los parámetros de la regla actual. En el caso de los Registros de CloudWatch, los grupos de registros existentes se mantienen siempre que coincidan con el patrón de recursos.

Integración con AWS Config

La auditoría y la configuración de telemetría de CloudWatch se integran con AWS Config para detectar automáticamente los recursos que cumplen con su regla de activación y aplicarlos a la recopilación de datos de telemetría. Al crear una regla de activación, la configuración de telemetría crea el registrador de AWS Config correspondiente. Este registrador incluye elementos de configuración para los tipos de recursos específicos que defina en la regla de activación.

Amazon CloudWatch utiliza registrador vinculado a servicios internos de AWS Config. No se le cobrarán los CI que CloudWatch utilice como parte de los registradores vinculados a servicios internos.

La configuración de telemetría utiliza AWS Config para lo siguiente:

Reglas en las regiones

Cuando crea una regla con regiones de destino, la región actual se convierte en la región principal de esa regla. La regla se replica automáticamente en las regiones satélite que seleccione.

Conceptos clave para reglas multirregión:

Cuando se crea, actualiza o elimina una regla replicada en una región satélite, AWS CloudTrail registra un AwsServiceEvent en la región satélite. Estos eventos se registran con observabilityadmin.amazonaws.com como el servicio invocador e incluyen el ARN de la regla en la región satélite. Puedes usar estos eventos para auditar la actividad de replicación de reglas multirregión.

El siguiente es un ejemplo de evento AWS CloudTrail registrado cuando se crea una regla replicada en una región satélite:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

El campo eventName refleja la operación realizada sobre la regla replicada: CreateTelemetryRule, UpdateTelemetryRule o DeleteTelemetryRule. El eventType siempre es AwsServiceEvent porque la operación la realiza el servicio ObservabilityAdmin en nombre del cliente, no una llamada a la API directa del cliente.

Creación de una regla de habilitación de telemetría

Al crear la regla de activación de la telemetría, especifica lo siguiente:

Administración de reglas de telemetría

Tras crear las reglas, puede editarlas o eliminarlas. También puede ver a qué recursos afecta cada regla y supervisar el cumplimiento de las reglas.

Administración de reglas replicadas

Cuando visualiza una regla replicada en una región satélite, la consola muestra una alerta informativa que indica que la regla se ha replicado desde otra región. Las acciones Editar regla y Eliminar están deshabilitadas para las reglas replicadas en regiones satélite.

Para editar o eliminar una regla replicada, vaya a la región principal donde se creó originalmente la regla. La región principal se muestra en la alerta informativa.

Puede agregar o modificar etiquetas en reglas replicadas en regiones satélite. Los cambios de etiquetas realizados en regiones satélite solo se aplican a la copia local de la regla y no se replican de vuelta en la región principal.

Orígenes de datos admitidos

Los siguientes orígenes de datos son compatibles con las reglas de habilitación de telemetría. Cada origen de datos tiene un comportamiento específico y consideraciones de configuración.