Einrichtung der Bearer-Token-Authentifizierung

So richten Sie den HTTP-Endpunktzugriff mithilfe der Konsole ein

1. Melden Sie sich bei der AWS Management Console an.

2. Navigieren Sie zu CloudWatch> Einstellungen > Protokolle.

3. Wählen Sie im Abschnitt API-Schlüssel die Option API-Schlüssel generieren aus.

4. Für den Ablauf des API-Schlüssels haben Sie folgende Möglichkeiten:

   • Wählen Sie eine Ablaufdauer für den API-Schlüssel von 1, 5, 30, 90 oder 365 Tagen aus.

   • Wählen Sie Benutzerdefinierte Dauer aus, um ein benutzerdefiniertes Ablaufdatum für den API-Schlüssel festzulegen.

   • Wählen Sie Nie abläuft aus (nicht empfohlen).

5. Wählen Sie API-Schlüssel generieren aus.

   Die Konsole automatisch:

   • Erstellt einen neuen IAM-Benutzer mit den entsprechenden Berechtigungen

   • Hängt die verwaltete CloudWatchLogsAPIKeyAccess-Richtlinie an (einschließlich logs:PutLogEvents und logs:CallWithBearerToken Berechtigungen)

   • Generiert dienstspezifische Anmeldeinformationen (API-Schlüssel)

6. Kopieren Sie die angezeigten Anmeldeinformationen und speichern Sie sie sicher:

   • API-Schlüssel-ID (dienstspezifische Anmeldeinformations-ID)

   • Geheimer API-Schlüssel (Inhaber-Token)

   Wichtig

   Speichern Sie das API-Schlüsselgeheimnis sofort. Er kann später nicht mehr abgerufen werden. Wenn Sie ihn verlieren, müssen Sie einen neuen API-Schlüssel generieren.

7. Erstellen Sie die Protokollgruppe und den Protokollstream, in denen Ihre Protokolle gespeichert werden:

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. Aktivieren Sie die Bearer-Token-Authentifizierung für die Protokollgruppe:

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   Überprüfen Sie die Konfiguration:

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. Melden Sie sich bei der AWS Management Console an und navigieren Sie zu IAM.

2. Wählen Sie im linken Navigationsbereich Benutzer aus.

3. Wählen Sie Create user (Benutzer erstellen) aus.

4. Geben Sie einen Benutzernamen ein (z. B.cloudwatch-logs-hlc-user).

5. Wählen Sie Weiter aus.

6. Fügen Sie eine der folgenden IAM-Richtlinien hinzu:

   Option A: Verwenden Sie die verwaltete Richtlinie (empfohlen)

   Hängen Sie die verwaltete CloudWatchLogsAPIKeyAccess-Richtlinie an.

   Option B: Erstellen Sie eine benutzerdefinierte Richtlinie

   Erstellen Sie die folgende IAM-Richtlinie und fügen Sie sie an:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Wählen Sie Weiter und dann Benutzer erstellen.

1. Erstellen Sie einen neuen (sekundären) Berechtigungsnachweis für den IAM-Benutzer:

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (Optional) Speichern Sie die neuen Anmeldeinformationen AWS Secrets Manager für einen sicheren Abruf und eine automatische Rotation.

3. Importieren Sie die neuen Anmeldeinformationen in das Portal Ihres Anbieters oder aktualisieren Sie Ihre Anwendungskonfiguration, um den neuen API-Schlüssel zu verwenden.

4. Setzen Sie die ursprünglichen Anmeldeinformationen auf inaktiv:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. Stellen Sie sicher, dass die Protokollzustellung nicht beeinträchtigt wird, indem Sie die IncomingBytes Metrik für Ihre Protokollgruppe in überwachen. CloudWatch Weitere Informationen finden Sie unter Überwachung mit CloudWatch Metriken.

6. Nachdem Sie die erfolgreiche Zustellung mit dem neuen Schlüssel bestätigt haben, löschen Sie die vorherigen Anmeldeinformationen:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. Deaktivieren Sie den Schlüssel sofort, um eine weitere unbefugte Verwendung zu verhindern:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. Überprüfen Sie die CloudTrail Protokolle, um den Umfang des unbefugten Zugriffs zu ermitteln. Weitere Informationen Protokollierung der Verwendung von API-Schlüsseln mit CloudTrail zur Aktivierung der Überwachung der API-Schlüsselnutzung finden Sie unter.

3. Erstellen Sie nach dem unter beschriebenen Rotationsprozess einen ErsatzschlüsselRotationsprozess.

4. Löschen Sie den kompromittierten Schlüssel, nachdem der Ersatzschlüssel installiert wurde:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. Fügen Sie eine Ablehnungsrichtlinie hinzu, wenn Sie sofort den gesamten Zugriff auf Inhaber-Tokens für den IAM-Benutzer sperren müssen, während Sie die folgenden Untersuchungen durchführen:

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. Erstellen Sie einen Trail:

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. Konfigurieren Sie erweiterte Event-Selektoren, um Logs zu CloudWatch protokollieren, Gruppenautorisierungsereignisse zu protokollieren:

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. Starten Sie die Trailprotokollierung:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1