Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Regole di abilitazione della telemetria

Puoi creare regole di abilitazione della telemetria per configurare automaticamente la raccolta della telemetria per le tue risorse. AWS Le regole ti aiutano a standardizzare la raccolta dei dati di telemetria nell'organizzazione o negli account e ad assicurare una copertura di monitoraggio coerente.

Come funzionano le regole

La configurazione della telemetria segue schemi specifici durante la valutazione e l'applicazione delle regole.

Gerarchia di valutazione delle regole

Le regole di abilitazione vengono valutate secondo uno schema gerarchico. Vengono valutate prima le regole organizzative, poi le regole che si applicano alle unità organizzative (UO) e infine le regole che si applicano ai singoli account. Le regole a livello organizzativo forniscono la telemetria di base richiesta per l'organizzazione. Le regole a livello di unità organizzativa e di account possono raccogliere dati di telemetria aggiuntivi, ma non possono raccogliere meno dati di telemetria. Se viene creata una regola di questo tipo, si creerà un conflitto di regole.

All'interno di ogni ambito (organizzazione, unità organizzativa o account), le regole devono mantenere l'unicità in base al tipo di risorsa, al tipo di telemetria e alla configurazione di destinazione. Le regole duplicate attivano un'eccezione di conflitto. Se la stessa regola esiste in ambiti diversi, ad esempio una regola a livello di organizzazione per i log di Amazon VPC Flow CloudWatch e una regola a livello di unità organizzativa per i log di Amazon VPC Flow, viene applicata la regola più in alto nella gerarchia. Tuttavia, se sono presenti più regole in conflitto, nessuna di esse viene applicata.

Quando più regole si applicano alla stessa risorsa, la configurazione della telemetria risolve i conflitti utilizzando le seguenti priorità:

Regola il comportamento degli aggiornamenti

Se si aggiorna una regola di abilitazione, solo le nuove risorse che corrispondono alla regola adottano la configurazione aggiornata. Le impostazioni di telemetria esistenti rimangono invariate per le risorse esistenti. Se una risorsa diventa non conforme a una regola esistente a causa dell'eliminazione manuale dei dati di telemetria, la nuova regola di abilitazione viene adottata dopo il ripristino della conformità della risorsa.

Per i log di Amazon VPC Flow, telemetry config crea solo nuovi log di flusso per le risorse che corrispondono all'ambito della regola. Non elimina né influisce sui log di Amazon VPC Flow precedentemente stabiliti, anche se differiscono dai parametri delle regole correnti. Per CloudWatch i log, i gruppi di log esistenti vengono mantenuti a condizione che corrispondano al modello di risorse.

Integrazione con AWS Config

CloudWatch il controllo e la configurazione della telemetria si integrano per scoprire automaticamente le risorse che corrispondono alla regola di abilitazione e applicarle AWS Config alla raccolta di dati di telemetria. Quando si crea una regola di abilitazione, la configurazione di telemetria crea un registratore corrispondente. AWS Config Questo registratore include elementi di configurazione per i tipi di risorse specifici definiti nella regola di abilitazione.

Amazon CloudWatch utilizza AWS il registratore collegato al servizio interno di Config. Non ti vengono addebitati i CI CloudWatch utilizzati come parte degli Internal Service Linked Recorder.

La configurazione della telemetria utilizza per: AWS Config

Regole tra le regioni

Quando crei una regola con le regioni target, la regione corrente diventa la regione di origine per quella regola. La regola viene replicata automaticamente nelle regioni parlate selezionate.

Concetti chiave per le regole multiregionali:

Quando una regola replicata viene creata, aggiornata o eliminata in una regione parlata, AWS CloudTrail registra una regola AwsServiceEvent nella regione parlata. Questi eventi vengono registrati observabilityadmin.amazonaws.com come servizio di richiamo e includono l'ARN della regola nella regione spoke. È possibile utilizzare questi eventi per controllare l'attività di replica delle regole in più regioni.

Di seguito è riportato un esempio di AWS CloudTrail evento registrato quando una regola replicata viene creata in una regione spoke:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

Il eventName campo riflette l'operazione eseguita sulla regola replicata:CreateTelemetryRule,UpdateTelemetryRule, o. DeleteTelemetryRule Ciò eventType è sempre AwsServiceEvent dovuto al fatto che l'operazione viene eseguita dal ObservabilityAdmin servizio per conto del cliente, non da una chiamata diretta all'API del cliente.

Creazione di una regola di abilitazione della telemetria

Quando crei una regola di abilitazione della telemetria, specifica:

Gestione delle regole di telemetria

Dopo aver creato le regole, puoi modificarle o eliminarle. Inoltre, puoi visualizzare le risorse interessate da ciascuna regola e monitorare la conformità delle regole.

Gestione delle regole replicate

Quando si visualizza una regola replicata in una regione parlata, la console visualizza un avviso informativo che indica che la regola è stata replicata da un'altra regione. Le azioni Modifica regola ed Elimina sono disabilitate per le regole replicate nelle regioni parlate.

Per modificare o eliminare una regola replicata, accedi alla regione principale in cui la regola è stata originariamente creata. La regione di origine viene visualizzata nell'avviso informativo.

Puoi aggiungere o modificare tag sulle regole replicate in Spoke Regions. Le modifiche ai tag effettuate nelle regioni spoke si applicano solo alla copia locale della regola e non vengono replicate nella regione di origine.

Crittografia dei gruppi di log con chiavi gestite dal cliente

È possibile crittografare i gruppi di log creati dalle regole di abilitazione della telemetria utilizzando una chiave gestita dal cliente. AWS KMS La crittografia dei gruppi di log con una chiave gestita dal cliente consente di controllare la rotazione delle chiavi e aiuta a soddisfare i requisiti di conformità. Quando si specifica una AWS KMS chiave ARN nella configurazione di destinazione della regola, la chiave CloudWatch viene associata automaticamente a ciascun gruppo di log creato durante la correzione.

Requisiti per le chiavi KMS

Politica chiave KMS richiesta

La policy relativa alle AWS KMS chiavi deve consentire al servizio CloudWatch Logs di utilizzare la chiave per la crittografia. Aggiungi la seguente dichiarazione alla tua politica chiave:

{
    "Sid": "AllowCloudWatchLogsToUseKey",
    "Effect": "Allow",
    "Principal": { "Service": "logs.amazonaws.com" },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceOrgID": "your-organization-id"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:*:*:log-group:*"
        }
    }
}

your-organization-idSostituiscila con AWS Organizations l'ID della tua organizzazione. La aws:SourceOrgID condizione garantisce che solo gli account dell'organizzazione possano utilizzare la chiave per la crittografia dei gruppi di log.

Service-linked autorizzazioni del ruolo per la crittografia

Il ruolo collegato al servizio delle regole di telemetria richiede autorizzazioni aggiuntive per supportare la crittografia delle chiavi. AWS KMS Le seguenti autorizzazioni vengono aggiunte automaticamente al ruolo collegato al servizio quando si utilizza la crittografia con regole di telemetria: AWS KMS

Come funzionano le chiavi multiregionali con le regole di telemetria

Multi-Region AWS KMS le chiavi condividono lo stesso ID chiave tra le regioni. Quando una regola di telemetria con una AWS KMS chiave viene applicata in più regioni, il servizio risolve automaticamente l'ARN chiave nella regione di destinazione. Ad esempio, se si fornisce la chiave ARN arn:aws:kms:us-east-1:123456789012:key/mrk-1234abcd e la regola crea un gruppo di log ineu-west-1, il servizio utilizza la crittografia in quella regione. arn:aws:kms:eu-west-1:123456789012:key/mrk-1234abcd

È necessario assicurarsi che la chiave multiregionale sia replicata in tutte le regioni in cui si applica la regola. Se la chiave non è stata replicata in una regione di destinazione, la riparazione delle risorse in tale regione ha esito negativo e il servizio riprova l'operazione.

Aggiornamento delle impostazioni di crittografia

Quando si aggiorna una regola per aggiungere una AWS KMS chiave, il servizio applica la chiave solo ai gruppi di log creati dalla regola dopo l'aggiornamento. Il servizio non crittografa retroattivamente i gruppi di log creati dalla regola prima dell'aggiunta della chiave.

Quando si rimuove la AWS KMS chiave ARN da una regola, il servizio modifica la configurazione di crittografia applicata in precedenza ai gruppi di log gestiti della regola.

Origini dati supportate

Le seguenti fonti di dati sono supportate dalle regole di abilitazione della telemetria. Ogni fonte di dati presenta considerazioni specifiche sul comportamento e sulla configurazione.