本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

遙測啟用規則

您可以建立遙測啟用規則，以自動設定 AWS 資源的遙測收集。規則可協助您將整個組織或帳戶的遙測收集標準化，並確保一致的監控涵蓋範圍。

規則的運作方式

遙測組態在評估和套用規則時遵循特定模式。

規則評估階層

系統會根據分層模式評估啟用規則。先評估組織規則，然後評估適用於組織單位 (OU) 的規則，最後評估適用於個別帳戶的規則。組織層級的規則可提供您的組織所需的遙測，用於確立基準。組織單位和帳戶層級的規則可收集更多遙測資料，但無法減少收集的遙測資料量。如果建立此類規則，則會導致規則衝突。

在每個範圍內 (組織、組織單位或帳戶)，規則必須依據資源類型、遙測類型和目的地組態來維持唯一性。重複規則會觸發衝突例外。如果不同的範圍內存在相同的規則，例如 Amazon VPC Flow 日誌到 CloudWatch 的組織層級規則，以及 Amazon VPC Flow 日誌的 OU 層級規則，則會套用階層中較高的規則。不過，如果有多個衝突規則，則不會套用任何規則。

當多個規則套用到同一資源時，遙測組態將依下列原則解決衝突：

更新時的規則行為

如果您更新啟用規則，則只有符合規則的新資源才會採用更新的組態。現有資源的現有遙測設定保持不變。如果資源因為手動刪除遙測資料而變得不符合現有規則，則會在資源恢復合規之後採用新的啟用規則。

對於 Amazon VPC 流程日誌，遙測組態只會為符合規則範圍的資源建立新的流程日誌。它不會刪除或影響先前建立的 Amazon VPC 流程日誌，即使它們與目前的規則參數不同。對於 CloudWatch 日誌，只要符合資源模式，現有的日誌群組將予以保留。

與 整合 AWS Config

CloudWatch 遙測稽核和組態會與 整合 AWS Config ，以自動探索符合您啟用規則的資源，並將其套用至遙測資料收集。當您建立啟用規則時，遙測組態會建立對應的 AWS Config 記錄器。此記錄器中包括您在啟用規則中定義之特定資源類型的組態項目。

Amazon CloudWatch 使用 AWS Config 內部服務連結記錄器。對於 CloudWatch 做為內部服務連結記錄器一部分使用的 CIs，您不需要付費。

遙測組態使用 AWS Config 來：

跨區域的規則

當您使用目標區域建立規則時，目前區域會成為該規則的主區域。規則會自動複寫到您選取的輻條區域。

多區域規則的重要概念：

在語音區域中建立、更新或刪除複寫規則時， AWS CloudTrail AwsServiceEvent會在語音區域中記錄 。這些事件會以 記錄observabilityadmin.amazonaws.com為叫用服務，並在語音區域中包含規則 ARN。您可以使用這些事件來稽核多區域規則複寫活動。

以下是在語音區域中建立複寫規則時記錄的範例 AWS CloudTrail 事件：

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "123456789012",
        "invokedBy": "observabilityadmin.amazonaws.com"
    },
    "eventTime": "2026-04-06T19:50:37Z",
    "eventSource": "observabilityadmin.amazonaws.com",
    "eventName": "CreateTelemetryRule",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "observabilityadmin.amazonaws.com",
    "userAgent": "observabilityadmin.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "435d6da2-d099-4775-8944-1e039418de6f",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::ObservabilityAdmin::TelemetryRule",
            "ARN": "arn:aws:observabilityadmin:us-east-1:123456789012:telemetry-rule/my-multi-region-rule"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

eventName 欄位反映對複寫規則執行的操作：CreateTelemetryRule、 UpdateTelemetryRule或 DeleteTelemetryRule。始終eventType是AwsServiceEvent由於 ObservabilityAdmin 服務代表客戶執行操作，而不是直接客戶 API 呼叫。

建立遙測啟用規則

當您建立遙測啟用規則時，可以指定：

管理遙測規則

規則建立之後，可以編輯或刪除規則。也可以檢視每項規則所影響的資源，並監控規則遵循狀況。

管理複寫規則

當您在語音區域中檢視複寫的規則時，主控台會顯示資訊提醒，指出規則已從另一個區域複寫。編輯規則和刪除動作會針對語音區域中的複寫規則停用。

若要編輯或刪除複寫的規則，請導覽至最初建立規則的主區域。主要區域會顯示在資訊提醒中。

您可以在語音區域中的複寫規則上新增或修改標籤。在語音區域中所做的標籤變更僅適用於規則的本機複本，不會複寫回主要區域。

使用客戶受管金鑰加密日誌群組

您可以使用客戶受管 AWS KMS 金鑰來加密遙測啟用規則建立的日誌群組。使用客戶受管金鑰加密日誌群組可讓您控制金鑰輪換，並協助符合合規要求。當您在規則的目的地組態中指定 AWS KMS 金鑰 ARN 時，CloudWatch 會自動將金鑰與修復期間建立的每個日誌群組建立關聯。

KMS 金鑰的需求

必要的 KMS 金鑰政策

您的 AWS KMS 金鑰政策必須允許 CloudWatch Logs 服務使用金鑰進行加密。將下列陳述式新增至您的金鑰政策：

{
    "Sid": "AllowCloudWatchLogsToUseKey",
    "Effect": "Allow",
    "Principal": { "Service": "logs.amazonaws.com" },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceOrgID": "your-organization-id"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:*:*:log-group:*"
        }
    }
}

將 取代your-organization-id為您的 AWS Organizations 組織 ID。aws:SourceOrgID 條件可確保只有組織中的帳戶可以使用 金鑰進行日誌群組加密。

加密的服務連結角色許可

遙測規則服務連結角色需要額外的許可，才能支援 AWS KMS 金鑰加密。當您搭配遙測規則使用 AWS KMS 加密時，下列許可會自動新增至服務連結角色：

多區域金鑰如何與遙測規則搭配使用

多區域 AWS KMS 金鑰跨區域共用相同的金鑰 ID。在多個區域中套用具有 AWS KMS 金鑰的遙測規則時，服務會自動將金鑰 ARN 解析為目標區域。例如，如果您提供金鑰 ARN，arn:aws:kms:us-east-1:123456789012:key/mrk-1234abcd且規則在 中建立日誌群組eu-west-1，則服務會使用 arn:aws:kms:eu-west-1:123456789012:key/mrk-1234abcd在該區域中加密。

您必須確定多區域金鑰已複寫至套用規則的所有區域。如果金鑰尚未複寫到目標區域，則該區域中資源的修復會失敗，且服務會重試操作。

更新加密設定

當您更新規則以新增 AWS KMS 金鑰時，服務只會將金鑰套用至規則在更新後建立的日誌群組。服務不會追溯加密規則在您新增金鑰之前建立的日誌群組。

當您從規則中移除 AWS KMS 金鑰 ARN 時，服務會變更先前套用至規則受管日誌群組的加密組態。

支援的資料來源

遙測啟用規則支援下列資料來源。每個資料來源都有特定的行為和組態考量。