As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Enviando registros para CloudWatch Logs usando o endpoint HLC

O Amazon CloudWatch Logs oferece suporte a um endpoint HTTP Log Collector (HLC) que permite enviar registros diretamente para o Logs usando um CloudWatch protocolo simples baseado em HTTP. Esse recurso simplifica a ingestão de registros para aplicativos e serviços sem exigir a integração do AWS SDK.

O recurso de endpoint do HLC permite que você:

Pré-requisitos

Antes de enviar registros usando o endpoint do HLC, você precisa:

Opção 1: configuração simplificada usando o AWS console (recomendado)

O AWS Management Console fornece um fluxo de trabalho simplificado para gerar chaves de API para acesso ao endpoint HLC.

Permissões incluídas: o usuário do IAM criado automaticamente terá as seguintes permissões:

Opção 2: configuração manual

Se você preferir ter mais controle sobre a configuração do IAM ou precisar personalizar as permissões, você pode configurar o endpoint do HLC manualmente.

Etapa 1: criar um usuário do IAM

Crie um usuário do IAM que será usado para ingestão de registros:

Etapa 2: gerar credenciais específicas do serviço (chave de API)

Gere a chave da API CloudWatch Logs usando a CreateServiceSpecificCredentialAPI. Você também pode usar o comando create-service-specific-credentialCLI. Para a idade da credencial, você pode especificar um valor entre 1 e 36600 dias. Se você não especificar o prazo de validade de uma credencial, a chave da API não expirará.

Para gerar uma chave de API com uma expiração de 30 dias:

aws iam create-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-name logs.amazonaws.com \
    --credential-age-days 30

A resposta é um ServiceSpecificCredentialobjeto. O ServiceCredentialSecret valor é sua chave da API CloudWatch Logs (token do portador).

Etapa 3: criar um grupo de registros e um fluxo de registros

Crie o grupo de registros e o fluxo de registros em que seus registros serão armazenados:

# Create the log group
aws logs create-log-group \
    --log-group-name /aws/hlc-logs/my-application \
    --region us-east-1

# Create the log stream
aws logs create-log-stream \
    --log-group-name /aws/hlc-logs/my-application \
    --log-stream-name application-stream-001 \
    --region us-east-1

Etapa 4: ativar a autenticação do token do portador

Ative a autenticação do token do portador no grupo de registros:

aws logs put-bearer-token-authentication \
    --log-group-identifier /aws/hlc-logs/my-application \
    --bearer-token-authentication-enabled \
    --region us-east-1

Verifique a configuração:

aws logs describe-log-groups \
    --log-group-name-prefix /aws/hlc-logs/my-application \
    --region us-east-1

Enviando registros para o endpoint do HLC

Formato do endpoint

O URL do endpoint do HLC segue este formato:

https://logs.<region>.amazonaws.com/services/collector/event?logGroup=<name>&logStream=<name>[&entityName=<name>&entityEnvironment=<environment>]

Parâmetros necessários:

Parâmetros opcionais:

Opcionalmente, você pode associar seus eventos de log a uma Service entidade incluindo os seguintes parâmetros de consulta. Como os registros enviados pelo endpoint do HLC são telemetria personalizada, eles não são associados automaticamente a uma entidade. Ao fornecer esses parâmetros, o CloudWatch Logs cria uma entidade com KeyAttributes.Type set to Service e a associa aos seus eventos de registro. Isso permite que o recurso relacionado ao Explore correlacione esses registros com outras telemetrias (métricas, rastreamentos e registros) do mesmo serviço, facilitando a solução de problemas e o monitoramento de seus aplicativos em diferentes tipos de sinal. CloudWatch Para obter mais informações sobre entidades e telemetria relacionada, consulte Adicionar informações relacionadas à telemetria personalizada.

Formato de solicitação

Envie registros usando HTTP POST com os seguintes cabeçalhos e corpo:

Cabeçalhos:

Formato do corpo:

O corpo da solicitação deve estar no formato JSON com uma matriz de eventos:

{
    "event": [
        {
            "time": 1730141374.001,
            "event": "Application started successfully",
            "host": "web-server-1",
            "source": "application.log",
            "severity": "info"
        },
        {
            "time": 1730141374.457,
            "event": "User login successful",
            "host": "web-server-1",
            "source": "auth.log",
            "user": "john.doe"
        }
    ]
}

Descrições de campo:

Campos personalizados adicionais podem ser incluídos conforme necessário.

Exemplo de solicitação

curl -X POST \
    'https://logs.<region>.amazonaws.com/services/collector/event?logGroup=/aws/hlc-logs/my-application&logStream=application-stream-001' \
    -H "Authorization: Bearer <your-bearer-token>" \
    -H "Content-Type: application/json" \
    -d '{
        "event": [
            {
                "time": 1730141374.001,
                "event": "Application started",
                "host": "web-server-1",
                "severity": "info"
            }
        ]
    }'

Controle as permissões para gerar e usar CloudWatch as chaves da API Logs

A geração e o uso das chaves da API CloudWatch Logs são controlados por ações e chaves de condição nos serviços do CloudWatch Logs e do IAM.

Controle da geração de chaves da API CloudWatch Logs

A CreateServiceSpecificCredential ação iam: controla a geração de uma chave específica do serviço (como uma chave da API CloudWatch Logs). Você pode definir o escopo dessa ação para usuários do IAM como um recurso para limitar os usuários para os quais uma chave pode ser gerada.

É possível usar as seguintes chaves de condição para impor condições à permissão para a ação iam:CreateServiceSpecificCredential:

Controle do uso das chaves da API CloudWatch Logs

A logs:CallWithBearerToken ação controla o uso de uma chave da API CloudWatch Logs. Para evitar que uma identidade use as chaves da API CloudWatch Logs, anexe uma política que negue a logs:CallWithBearerToken ação ao usuário do IAM associado à chave.

Exemplo de política

Impedir que uma identidade gere e use CloudWatch as chaves da API Logs

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DenyCWLAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "logs:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Impedir que uma identidade use CloudWatch as chaves da API Logs

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "logs:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Permita a criação de chaves de CloudWatch registros somente se elas expirarem em 90 dias

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "logs.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Lidar com chaves comprometidas da API CloudWatch Logs

Se sua chave de API for comprometida, você deverá revogar as permissões para usá-la. Você pode usar as seguintes operações de API do IAM para gerenciar chaves comprometidas:

Alterar o status de uma chave da API CloudWatch Logs

Para desativar uma chave, use o update-service-specific-credentialcomando:

aws iam update-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-specific-credential-id ACCA1234EXAMPLE1234 \
    --status Inactive

Para reativar a chave, altere o status paraActive.

Redefinir uma chave da API CloudWatch Logs

Se o valor da sua chave foi comprometido ou você não a tem mais, redefina-a usando o reset-service-specific-credentialcomando. A chave ainda não deve ter expirado. Se ela já tiver expirado, exclua a chave e crie outra.

aws iam reset-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

Excluir uma chave da API CloudWatch Logs

Se você não precisar mais de uma chave ou se ela tiver expirado, exclua-a usando o delete-service-specific-credentialcomando:

aws iam delete-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

Anexe políticas do IAM para remover as permissões de uso de uma chave da API CloudWatch Logs

Para evitar que uma identidade faça chamadas com uma chave da API CloudWatch Logs, anexe a política a seguir ao usuário do IAM associado à chave:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Deny",
        "Action": "logs:CallWithBearerToken",
        "Resource": "*"
    }
}

Registrando o uso da chave de API com CloudTrail

Você pode usar AWS CloudTrail para registrar eventos de dados para o uso da chave da API CloudWatch Logs. CloudWatch O Logs emite eventos de AWS::Logs::LogGroupAuthorization dados para CallWithBearerToken chamadas, permitindo que você audite quando e como as chaves de API são usadas para enviar registros.

Para ativar o CloudTrail registro para o uso da chave da API CloudWatch Logs:

Práticas recomendadas

eventos em lotes

Para melhor desempenho e eficiência:

Tratamento de erros

Implemente o tratamento adequado de erros em seu aplicativo. Códigos de status HTTP comuns:

Limitações