Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichtung der Bearer-Token-Authentifizierung für Metrics

Bevor Sie Metriken mithilfe der Bearer-Token-Authentifizierung mit dem CloudWatch OTLP-Endpunkt senden können, müssen Sie:

Option 1: Schnellstart mit dem AWS Konsole

Die AWS Management Console bietet einen optimierten Arbeitsablauf zur Generierung von API-Schlüsseln für den OTLP-Endpunktzugriff.

Die Konsole automatisch:

Option 2: Manuelle Einrichtung

Wenn Sie mehr Kontrolle über die IAM-Konfiguration bevorzugen oder die Berechtigungen anpassen müssen, können Sie den OTLP-Endpunktzugriff manuell einrichten.

Schritt 1: Erstellen Sie einen IAM-Benutzer

Erstellen Sie einen IAM-Benutzer für die Erfassung von Metriken:

Schritt 2: Generieren Sie dienstspezifische Anmeldeinformationen (API-Schlüssel)

Generieren Sie den CloudWatch Metrics-API-Schlüssel mithilfe der CreateServiceSpecificCredentialAPI. Sie können auch den Befehl create-service-specific-credential AWS CLI verwenden. Für das Alter der Anmeldeinformationen können Sie einen Wert zwischen 1—36600 Tagen angeben. Wenn Sie kein Alter für die Anmeldeinformationen angeben, läuft der API-Schlüssel nicht ab.

Um einen API-Schlüssel mit einem Ablauf von 30 Tagen zu generieren:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

Die Antwort ist ein ServiceSpecificCredentialObjekt. Der ServiceCredentialSecret Wert ist Ihr CloudWatch Metrics-API-Schlüssel (Bearer-Token).

Schritt 3: Metriken senden

Mit Ihrem Bearer-Token können Sie sofort Metriken an den OTLP-Endpunkt senden:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

Der Endpunkt akzeptiert sowohl Inhaltstypen als auch application/json application/x-protobuf Inhaltstypen.

Steuern Sie die Berechtigungen für die Generierung und Verwendung von CloudWatch Metrics-API-Schlüsseln

Steuerung der Generierung von CloudWatch Metrics-API-Schlüsseln

Die iam:CreateServiceSpecificCredentialAktion steuert die Generierung eines dienstspezifischen Schlüssels (z. B. eines CloudWatch Metrics-API-Schlüssels). Sie können diese Aktion auf IAM-Benutzer als Ressource beschränken, um die Anzahl der Benutzer einzuschränken, für die ein Schlüssel generiert werden kann.

Mit den folgenden Bedingungsschlüsseln können Sie Bedingungen mit der Berechtigung für die Aktion iam:CreateServiceSpecificCredential verknüpfen:

Steuerung der Verwendung von CloudWatch Metrics-API-Schlüsseln

Die cloudwatch:CallWithBearerToken Aktion steuert die Verwendung eines CloudWatch Metrics-API-Schlüssels. Um zu verhindern, dass eine Identität CloudWatch Metrics-API-Schlüssel verwendet, fügen Sie eine Richtlinie hinzu, die dem IAM-Benutzer, der mit dem Schlüssel verknüpft ist, die cloudwatch:CallWithBearerToken Aktion verweigert.

Beispielrichtlinien

Verhindern Sie, dass eine Identität Metrik-API-Schlüssel generiert und verwendet CloudWatch:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Verhindern Sie, dass eine Identität CloudWatch Metrics-API-Schlüssel verwendet:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Erlaube die Erstellung von CloudWatch Metrics-Schlüsseln nur, wenn sie innerhalb von 90 Tagen ablaufen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Verwendung von Inhaber-Tokens mit dem Collector OpenTelemetry

Wenn Sie Inhaber-Token verwenden, benötigen Sie die sigv4auth Erweiterung nicht. Verwenden Sie die Erweiterung bearertokenauth, um Ihren API-Schlüssel sicher aus einer Datei oder Umgebungsvariablen bereitzustellen:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Alternativ können Sie statt einer Datei auf eine Umgebungsvariable verweisen:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Rotierende API-Schlüssel

Durch die regelmäßige Rotation Ihrer API-Schlüssel wird das Risiko eines unbefugten Zugriffs verringert. Wir empfehlen, einen Rotationsplan aufzustellen, der den Sicherheitsrichtlinien Ihres Unternehmens entspricht.

Ablauf der Rotation

Gehen Sie wie folgt vor, um einen API-Schlüssel zu rotieren, ohne die Bereitstellung von Metriken zu unterbrechen:

Ablauf des Schlüssels überwachen

Verwenden Sie den Befehl list-service-specific-credentials, um das Erstellungsdatum und den Status Ihrer vorhandenen API-Schlüssel zu überprüfen:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

Die Antwort beinhaltet CreateDate und für jeden Berechtigungsnachweis. Status Verwenden Sie diese Informationen, um Schlüssel zu identifizieren, die bald ablaufen oder die schon länger aktiv sind, als es Ihre Rotationsrichtlinie zulässt.

Reaktion auf einen kompromittierten API-Schlüssel

Wenn Sie vermuten, dass ein API-Schlüssel kompromittiert wurde, führen Sie sofort die folgenden Schritte durch:

Sie können auch die folgenden IAM-API-Operationen verwenden, um kompromittierte Schlüssel zu verwalten:

Bewährte Sicherheitsmethoden für API-Schlüssel

Folgen Sie diesen bewährten Methoden, um Ihre CloudWatch Metrics-API-Schlüssel zu schützen:

Protokollierung der Verwendung von API-Schlüsseln mit CloudTrail

Sie können es verwenden AWS CloudTrail , um Datenereignisse für die OTLP-Erfassung von CloudWatch Metrics zu protokollieren. CloudWatch sendet AWS::CloudWatch::Metric Datenereignisse für Aufrufe an den OTLP-Endpunkt aus, sodass Sie die Aktivitäten zur Erfassung von Metriken, einschließlich der Verwendung von API-Schlüsseln, überprüfen können.

Der readOnly: false Filter beschränkt die Protokollierung auf Schreiboperationen (PutMetricData), was alle OTLP-Aufnahmerufe einschließt. Um die Verwendung von Inhaber-Tokens unter diesen Ereignissen zu identifizieren, fragen Sie Ihre Trail-Logs ab (über Athena oder CloudTrail Lake) und filtern Sie nach dem IAM-Benutzernamen, der mit Ihrem API-Schlüssel verknüpft ist (z. B.). cloudwatch-metrics-api-key-user Ereignisse aus der OTLP-Erfassung sind OTLP in der Event-Payload auf AdditionalEventData.protocol festgelegt, was Sie in Post-hoc-Abfragen verwenden können, um sie von klassischen SDK-Aufrufen zu unterscheiden. PutMetricData