Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Aturan pengaktifan telemetri

Anda dapat membuat aturan pengaktifan telemetri untuk secara otomatis mengonfigurasi pengumpulan telemetri untuk sumber daya Anda. AWS Aturan membantu Anda menstandarkan pengumpulan telemetri di seluruh organisasi atau akun Anda dan memastikan cakupan pemantauan yang konsisten.

Bagaimana aturan bekerja

Konfigurasi telemetri mengikuti pola tertentu saat mengevaluasi dan menerapkan aturan.

Hirarki evaluasi aturan

Aturan pemberdayaan dievaluasi sesuai dengan pola hierarkis. Aturan organisasi dievaluasi terlebih dahulu, kemudian aturan yang berlaku untuk unit organisasi (OU), dan akhirnya aturan yang berlaku untuk akun individu. Aturan di tingkat organisasi memberikan telemetri dasar yang diperlukan untuk organisasi Anda. Aturan di OU dan tingkat akun dapat mengumpulkan data telemetri tambahan, tetapi mereka tidak dapat mengumpulkan lebih sedikit data telemetri. Jika aturan seperti itu dibuat, itu akan menciptakan konflik aturan.

Dalam setiap lingkup (organisasi, OU, atau akun), aturan harus mempertahankan keunikan berdasarkan jenis sumber daya, jenis telemetri, dan konfigurasi tujuan. Aturan duplikat memicu pengecualian konflik. Jika aturan yang sama ada di cakupan yang berbeda, seperti aturan tingkat organisasi untuk log Amazon VPC Flow ke CloudWatch dan aturan tingkat OU untuk log Amazon VPC Flow, aturan yang lebih tinggi dalam hierarki diterapkan. Namun, jika ada beberapa aturan yang saling bertentangan, tidak ada aturan yang diterapkan.

Ketika beberapa aturan berlaku untuk sumber daya yang sama, konfigurasi telemetri menyelesaikan konflik menggunakan prioritas berikut:

Perilaku aturan pada pembaruan

Jika Anda memperbarui aturan pengaktifan, hanya sumber daya baru yang cocok dengan aturan yang mengadopsi konfigurasi yang diperbarui. Pengaturan telemetri yang ada tetap tidak berubah untuk sumber daya yang ada. Jika sumber daya menjadi tidak sesuai dengan aturan yang ada karena penghapusan data telemetri secara manual, aturan pengaktifan baru diadopsi setelah sumber daya dikembalikan ke kepatuhan.

Untuk log Amazon VPC Flow, konfigurasi telemetri hanya membuat log alur baru untuk sumber daya yang sesuai dengan cakupan aturan. Ini tidak menghapus atau memengaruhi log Amazon VPC Flow yang telah dibuat sebelumnya, meskipun log tersebut berbeda dari parameter aturan saat ini. Untuk CloudWatch Log, grup log yang ada dipertahankan asalkan cocok dengan pola sumber daya.

Integrasi dengan AWS Config

CloudWatch audit dan konfigurasi telemetri terintegrasi dengan AWS Config untuk secara otomatis menemukan sumber daya yang sesuai dengan aturan pengaktifan Anda dan menerapkannya pada pengumpulan data telemetri Anda. Saat Anda membuat aturan pengaktifan, konfigurasi telemetri membuat perekam yang sesuai. AWS Config Perekam ini menyertakan item konfigurasi untuk jenis sumber daya tertentu yang Anda tentukan dalam aturan pengaktifan.

Amazon CloudWatch menggunakan perekam AWS tertaut layanan Config Internal. Anda tidak dikenakan biaya untuk CI yang digunakan sebagai CloudWatch bagian dari Perekam Tertaut Layanan Internal.

Konfigurasi telemetri digunakan AWS Config untuk:

Aturan di seluruh Wilayah

Saat Anda membuat aturan dengan Wilayah target, Wilayah saat ini menjadi Wil ayah rumah untuk aturan tersebut. Aturan secara otomatis direplikasi ke Wilayah berduri yang Anda pilih.

Konsep kunci untuk aturan multi-wilayah:

Saat aturan yang direplikasi dibuat, diperbarui, atau dihapus di Wilayah berduri, AWS CloudTrail rekam aturan tersebut AwsServiceEvent di Wilayah yang diucapkan. Peristiwa ini dicatat observabilityadmin.amazonaws.com sebagai layanan pemanggilan dan menyertakan aturan ARN di Wilayah yang diucapkan. Anda dapat menggunakan peristiwa ini untuk mengaudit aktivitas replikasi aturan multi-wilayah.

Berikut ini adalah contoh AWS CloudTrail peristiwa yang direkam ketika aturan yang direplikasi dibuat di Wilayah berduri:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

Bid eventName ang mencerminkan operasi yang dilakukan pada aturan yang direplikasi:CreateTelemetryRule,UpdateTelemetryRule, atauDeleteTelemetryRule. eventTypeItu selalu AwsServiceEvent karena operasi dilakukan oleh ObservabilityAdmin layanan atas nama pelanggan, bukan oleh panggilan API pelanggan langsung.

Membuat aturan pengaktifan telemetri

Saat Anda membuat aturan pengaktifan telemetri, Anda menentukan:

Mengelola aturan telemetri

Setelah membuat aturan, Anda dapat mengedit atau menghapusnya. Anda juga dapat melihat sumber daya yang dipengaruhi setiap aturan dan memantau kepatuhan aturan.

Mengelola aturan yang direplikasi

Saat Anda melihat aturan yang direplikasi di Wilayah berduri, konsol menampilkan peringatan informasi yang menunjukkan bahwa aturan tersebut direplikasi dari Wilayah lain. Tind akan Edit aturan dan H apus dinonaktifkan untuk aturan yang direplikasi di Wilayah bercabang.

Untuk mengedit atau menghapus aturan yang direplikasi, navigasikan ke Wilayah asal tempat aturan awalnya dibuat. Wilayah rumah ditampilkan dalam peringatan informasi.

Anda dapat menambahkan atau memodifikasi tag pada aturan yang direplikasi di Wilayah bercabang. Perubahan tag yang dibuat di Daerah bercabang hanya berlaku untuk salinan aturan lokal dan tidak direplikasi kembali ke Wilayah asal.

Mengenkripsi grup log dengan kunci yang dikelola pelanggan

Anda dapat mengenkripsi grup log yang dibuat oleh aturan pengaktifan telemetri menggunakan kunci yang dikelola pelanggan. AWS KMS Mengenkripsi grup log dengan kunci yang dikelola pelanggan memberi Anda kontrol atas rotasi kunci dan membantu memenuhi persyaratan kepatuhan. Saat Anda menentukan AWS KMS kunci ARN dalam konfigurasi tujuan aturan, CloudWatch secara otomatis mengaitkan kunci dengan setiap grup log yang dibuat selama remediasi.

Persyaratan untuk kunci KMS

Kebijakan kunci KMS yang diperlukan

Kebijakan AWS KMS kunci Anda harus mengiz CloudWatch inkan layanan Log menggunakan kunci untuk enkripsi. Tambahkan pernyataan berikut ke kebijakan utama Anda:

{
    "Sid": "AllowCloudWatchLogsToUseKey",
    "Effect": "Allow",
    "Principal": { "Service": "logs.amazonaws.com" },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceOrgID": "your-organization-id"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:*:*:log-group:*"
        }
    }
}

Ganti your-organization-id dengan ID AWS Organizations organisasi Anda. aws:SourceOrgIDKondisi ini memastikan bahwa hanya akun di organisasi Anda yang dapat menggunakan kunci untuk enkripsi grup log.

Service-linked izin peran untuk enkripsi

Peran terkait layanan aturan telemetri memerlukan izin tambahan untuk mendukung AWS KMS enkripsi kunci. Izin berikut secara otomatis ditambahkan ke peran terkait layanan saat Anda menggunakan AWS KMS enkripsi dengan aturan telemetri:

Cara kerja kunci multi-wilayah dengan aturan telemetri

Multi-Region AWS KMS kunci berbagi ID kunci yang sama di seluruh Wilayah. Ketika aturan telemetri dengan AWS KMS kunci diterapkan di beberapa Wilayah, layanan secara otomatis menyelesaikan kunci ARN ke Wilayah target. Misalnya, jika Anda memberikan kunci ARN arn:aws:kms:us-east-1:123456789012:key/mrk-1234abcd dan aturan membuat grup log dieu-west-1, layanan akan menggunakan arn:aws:kms:eu-west-1:123456789012:key/mrk-1234abcd enkripsi di Wilayah tersebut.

Anda harus memastikan bahwa kunci Multi-wilayah direplikasi ke semua Wilayah tempat aturan berlaku. Jika kunci belum direplikasi ke Wilayah target, remediasi untuk sumber daya di Wilayah tersebut gagal, dan layanan mencoba lagi operasi.

Memperbarui pengaturan enkripsi

Saat Anda memperbarui aturan untuk menambahkan AWS KMS kunci, layanan menerapkan kunci hanya untuk grup log yang dibuat aturan setelah pembaruan. Layanan tidak mengenkripsi grup log secara retroaktif yang dibuat oleh aturan sebelum Anda menambahkan kunci.

Saat Anda menghapus AWS KMS kunci ARN dari aturan, layanan mengubah konfigurasi enkripsi yang sebelumnya diterapkan ke grup log terkelola aturan.

Sumber data yang didukung

Sumber data berikut didukung oleh aturan pengaktifan telemetri. Setiap sumber data memiliki perilaku dan pertimbangan konfigurasi tertentu.