本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 在 中記錄和監控 AWS Key Management Service
<a name="security-logging-monitoring"></a>

監控主要用於了解 AWS KMS中 AWS KMS keys 的可用性、狀態和使用情形。監控有助於維護 AWS 解決方案的安全性、可靠性、可用性和效能。 AWS 提供數種工具來監控 KMS 金鑰。

**AWS CloudTrail 日誌**  
對 AWS KMS API 操作的每次呼叫都會擷取為 AWS CloudTrail 日誌中的事件。這些日誌會記錄來自 AWS KMS 主控台的所有 API 呼叫，以及 AWS KMS 和其他 AWS 服務的呼叫。跨帳戶 API 呼叫，例如在不同 AWS 帳戶中使用 KMS 金鑰的呼叫，會記錄在兩者帳戶的 CloudTrail 日誌中。  
故障診斷或稽核時，您可以使用日誌來重建 KMS 金鑰的生命週期。您也可以在密碼編譯操作中檢視其 KMS 金鑰的管理和使用。如需詳細資訊，請參閱[使用 記錄 AWS KMS API 呼叫 AWS CloudTrail](logging-using-cloudtrail.md)。

**Amazon CloudWatch Logs**  
監控、存放和存取來自 和其他來源 AWS CloudTrail 的日誌檔案。如需更多資訊，請參閱 [Amazon CloudWatch 使用者指南](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/)。  
對於 AWS KMS，CloudWatch 會存放有用的資訊，協助您防止 KMS 金鑰及其保護的資源發生問題。如需詳細資訊，請參閱[使用 Amazon CloudWatch 監控 KMS 金鑰](monitoring-cloudwatch.md)。

**Amazon EventBridge**  
AWS KMS 當您的 KMS 金鑰[輪換](rotate-keys.md)[或刪除](deleting-keys.md)，或 KMS 金鑰中的[匯入金鑰材料](importing-keys.md)過期時， 會產生 EventBridge 事件。搜尋 AWS KMS 事件 (API 操作） 並將其路由至一或多個目標函數或串流，以擷取狀態資訊。如需詳細資訊，請參閱 [使用 Amazon EventBridge 監控 KMS 金鑰](kms-events.md) 和《[Amazon EventBridge 使用者指南](https://docs.aws.amazon.com/eventbridge/latest/userguide/)》。

**Amazon CloudWatch 指標**  
您可以使用 CloudWatch 指標來監控 KMS 金鑰，該指標會收集原始資料並將其處理 AWS KMS 為效能指標。資料會以兩週的時間間隔記錄，以便您可以檢視目前和歷史記錄資訊的趨勢。這可協助您了解 KMS 金鑰的使用方式，及其使用方式隨著時間的變化。如需使用 CloudWatch 指標監控 KMS 金鑰的詳細資訊，請參閱 [AWS KMS 指標和維度](monitoring-cloudwatch.md#kms-metrics)。

**Amazon CloudWatch 警示**  
監看您指定期間的單一指標變更。然後，根據在數個期間與閾值相關的指標值，執行動作。例如，您可以建立 CloudWatch 警示，當有人嘗試使用排程在密碼編譯操作中刪除的 KMS 金鑰時觸發該警示。這表示 KMS 金鑰仍在使用中，可能不應該刪除。如需詳細資訊，請參閱[建立偵測 KMS 金鑰待刪除使用情況的警示](deleting-keys-creating-cloudwatch-alarm.md)。

**AWS Security Hub CSPM**  
您可以使用 監控您的 AWS KMS 用量，以確保安全產業標準和最佳實務合規性 AWS Security Hub CSPM。Security Hub CSPM 使用安全控制來評估資源組態和安全標準，以協助您遵守各種合規架構。如需詳細資訊，請參閱《*AWS Security Hub 使用者指南*》的[AWS Key Management Service 控制](https://docs.aws.amazon.com/securityhub/latest/userguide/kms-controls.html)。