Configuración de la autenticación por token de portador

Para configurar el acceso al punto final HTTP mediante la consola

1. Inicie sesión en la consola AWS de administración.

2. Vaya a CloudWatch> Configuración > Registros.

3. En la sección Claves de API, selecciona Generar clave de API.

4. Para Expiración de la clave de API, realice una de las siguientes acciones:

   • Selecciona una duración de caducidad de la clave de API de 1, 5, 30, 90 o 365 días.

   • Elija Duración personalizada para especificar una fecha de expiración personalizada de la clave de API.

   • Selecciona Nunca caduca (no se recomienda).

5. Seleccione Generar clave de API.

   La consola automáticamente:

   • Crea un nuevo usuario de IAM con los permisos adecuados

   • Adjunta la política de CloudWatchLogsAPIKeyacceso gestionado (incluye logs:PutLogEvents y logs:CallWithBearerToken permisos)

   • Genera credenciales específicas del servicio (clave de API)

6. Copie y guarde de forma segura las credenciales mostradas:

   • ID de clave de API (ID de credencial específica del servicio)

   • Secreto de clave de API (token de portador)

   importante

   Guarde el secreto de la clave de la API inmediatamente. no la puede recuperar en otro momento. Si la pierdes, tendrás que generar una nueva clave de API.

7. Crea el grupo de registros y el flujo de registros donde se almacenarán tus registros:

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. Habilite la autenticación por token de portador en el grupo de registros:

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   Verifique la configuración:

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. Inicie sesión en la consola de AWS administración y vaya a IAM.

2. En el panel de navegación izquierdo, elija Usuarios.

3. Seleccione la opción Crear un usuario.

4. Introduzca un nombre de usuario (por ejemplo,cloudwatch-logs-hlc-user).

5. Elija Siguiente.

6. Adjunte una de las siguientes políticas de IAM:

   Opción A: utilizar la política gestionada (recomendada)

   Adjunte la política de CloudWatchLogsAPIKeyacceso gestionado.

   Opción B: crear una política personalizada

   Cree y adjunte la siguiente política de IAM:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Seleccione Siguiente y, a continuación, Crear usuario.

1. Cree una nueva credencial (secundaria) para el usuario de IAM:

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (Opcional) Guarde la nueva credencial AWS Secrets Manager para recuperarla de forma segura y rotarla automáticamente.

3. Importe la nueva credencial al portal de su proveedor o actualice la configuración de la aplicación para usar la nueva clave de API.

4. Defina la credencial original como inactiva:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. Compruebe que la entrega de registros no se vea afectada supervisando la IncomingBytes métrica de su grupo de registros. CloudWatch Para obtener más información, consulte Supervisión con CloudWatch métricas.

6. Tras confirmar que la entrega se ha realizado correctamente con la nueva clave, elimine la credencial anterior:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. Desactiva la clave inmediatamente para evitar que se siga utilizando sin autorización:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. Revise CloudTrail los registros para determinar el alcance del acceso no autorizado. Consulte Registrar el uso de las claves de API con CloudTrail para saber cómo habilitar la auditoría del uso de las claves de API.

3. Cree una clave de reemplazo siguiendo el proceso de rotación descrito enProceso de rotación.

4. Elimine la clave dañada una vez que se haya realizado la sustitución:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. Adjunta una política de denegación si necesitas bloquear inmediatamente todo acceso al token portador para el usuario de IAM mientras investigas:

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. Cree una ruta:

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. Configure selectores de eventos avanzados para capturar CloudWatch los eventos de autorización de grupos de registros:

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. Inicie el registro de rutas:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1