Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Impostazione dell'autenticazione del token al portatore per Metrics

Prima di poter inviare le metriche utilizzando l'autenticazione con token al portatore con l'endpoint CloudWatch OTLP, devi:

Opzione 1: avvio rapido utilizzando AWS console

La console AWS di gestione fornisce un flusso di lavoro semplificato per generare chiavi API per l'accesso agli endpoint OTLP.

La console automaticamente:

Opzione 2: configurazione manuale

Se preferisci un maggiore controllo sulla configurazione IAM o hai bisogno di personalizzare le autorizzazioni, puoi configurare manualmente l'accesso agli endpoint OTLP.

Fase 1: Creare un utente IAM

Crea un utente IAM per l'inserimento delle metriche:

Passaggio 2: generazione di credenziali specifiche del servizio (chiave API)

Genera la chiave API CloudWatch Metrics utilizzando l'API. CreateServiceSpecificCredential Puoi anche utilizzare il comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/create-service-specific-credential.html AWS CLI create-service-specific-credential. Per l'età delle credenziali, puoi specificare un valore compreso tra 1 e 36600 giorni. Se non specifichi l'età delle credenziali, la chiave API non scadrà.

Per generare una chiave API con una scadenza di 30 giorni:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

La risposta è un ServiceSpecificCredential oggetto. Il ServiceCredentialSecret valore è la tua chiave API CloudWatch Metrics (token al portatore).

Fase 3: Inviare le metriche

Puoi inviare immediatamente le metriche all'endpoint OTLP utilizzando il tuo token al portatore:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

L'endpoint accetta entrambi i tipi di contenuto. application/json application/x-protobuf

Controlla le autorizzazioni per la generazione e l'utilizzo delle chiavi API CloudWatch Metrics

Controllo della generazione delle chiavi API CloudWatch Metrics

L'iam:CreateServiceSpecificCredentialazione controlla la generazione di una chiave specifica del servizio (come una chiave API CloudWatch Metrics). È possibile questa azione agli utenti IAM come una risorsa per limitare gli utenti per cui è possibile generare una chiave.

Per imporre condizioni all’autorizzazione per l’azione iam:CreateServiceSpecificCredential, è possibile utilizzare le chiavi di condizione seguenti:

Controllo dell'utilizzo delle chiavi API CloudWatch Metrics

L'cloudwatch:CallWithBearerTokenazione controlla l'uso di una CloudWatch chiave API Metrics. Per impedire a un'identità di utilizzare le chiavi API CloudWatch Metrics, allega una policy che neghi l'cloudwatch:CallWithBearerTokenazione all'utente IAM associato alla chiave.

Policy di esempio

Impedisci a un'identità di generare e utilizzare le chiavi API Metrics: CloudWatch

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Impedisci a un'identità di utilizzare le CloudWatch chiavi API Metrics:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Consenti la creazione di chiavi CloudWatch Metrics solo se scadono entro 90 giorni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Utilizzo dei token al portatore con il Collector OpenTelemetry

Quando si utilizzano i token al portatore, non è necessaria l'estensione. sigv4auth Usa l'estensione bearertokenauth per fornire in modo sicuro la tua chiave API da un file o da una variabile di ambiente:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

In alternativa, puoi fare riferimento a una variabile di ambiente anziché a un file:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Chiavi API rotanti

La rotazione regolare delle chiavi API riduce il rischio di accessi non autorizzati. Dovresti consigliare di stabilire un programma di rotazione in linea con le politiche di sicurezza della tua organizzazione.

Processo di rotazione

Per ruotare una chiave API senza interrompere la distribuzione delle metriche, segui questa procedura:

Monitoraggio della scadenza della chiave

Per verificare la data di creazione e lo stato delle tue chiavi API esistenti, usa il comando list-service-specific-credentials:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

La risposta include e per ogni credenziale. CreateDate Status Utilizza queste informazioni per identificare le chiavi che stanno per scadere o sono state attive più a lungo di quanto consentito dalla tua politica di rotazione.

Risposta a una chiave API compromessa

Se sospetti che una chiave API sia stata compromessa, procedi immediatamente come segue:

Puoi anche utilizzare le seguenti operazioni API IAM per gestire le chiavi compromesse:

Le migliori pratiche di sicurezza per le chiavi API

Segui queste best practice per proteggere le tue chiavi API CloudWatch Metrics:

Registrazione dell'utilizzo della chiave API con CloudTrail

È possibile utilizzarlo AWS CloudTrail per registrare gli eventi di dati per l'inserimento OTLP di CloudWatch Metrics. CloudWatch emette eventi di AWS::CloudWatch::Dataset dati per le chiamate all'endpoint OTLP, consentendoti di controllare l'attività di inserimento delle metriche, incluso l'utilizzo delle chiavi API.

Il readOnly: false filtro limita la registrazione alle operazioni di scrittura (PutMetricData), che include tutte le chiamate di inserimento OTLP. Per identificare l'utilizzo del token al portatore tra questi eventi, interroga i log di percorso (tramite Athena o CloudTrail Lake) e filtra in base al nome utente IAM associato alla tua chiave API (ad esempio,). cloudwatch-metrics-api-key-user Gli eventi derivanti dall'inserimento di OTLP includono il payload AdditionalEventData.protocol impostato su OTLP in the event, che puoi utilizzare nelle query post-hoc per distinguerli dalle classiche chiamate SDK. PutMetricData