Configurar la autenticación por token de portador para métricas

Antes de poder enviar métricas mediante la autenticación por token de portador con el punto de conexión de OTLP de CloudWatch, debe hacer lo siguiente:

Opción 1: inicio rápido con la consola de AWS

La Consola de administración de AWS proporciona un flujo de trabajo simplificado para generar claves de API para el acceso a los puntos de conexión de OTLP.

La consola automáticamente:

Opción 2: configuración manual

Si prefiere tener más control sobre la configuración de IAM o necesita personalizar los permisos, puede configurar el acceso al punto de conexión de OTLP de forma manual.

Paso 1: Crear un usuario de IAM

Cree un usuario de IAM para la ingesta de métricas:

Paso 2: generación de credenciales específicas del servicio (clave de API)

Genere la clave de API de Métricas de CloudWatch con la API CreateServiceSpecificCredential API. También puede usar el comando create-service-specific-credential de la AWS CLI. Para la antigüedad de la credencial, puede especificar un valor entre 1 y 36 600 días. Si no especifica ninguna antigüedad de la credencial, la clave de API no caducará.

Para generar una clave de API con una caducidad de 30 días:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

La respuesta es un objeto ServiceSpecificCredential. El valor de ServiceCredentialSecret es la clave de API de Métricas de CloudWatch (token de portador).

Paso 3: envío de las métricas

Puede enviar las métricas inmediatamente al punto de conexión de OTLP con el token de portador:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

El punto de conexión acepta los tipos de contenido application/json y application/x-protobuf.

Control de los permisos para generar y usar claves de API de Métricas de CloudWatch

Control de la generación de claves de API de Métricas de CloudWatch

La acción iam:CreateServiceSpecificCredential controla la generación de una clave específica del servicio (como una clave de API de Métricas de CloudWatch). Puede limitar esta acción a los usuarios de IAM como una forma de restringir el número de usuarios para los que se puede generar una clave.

Puede utilizar las siguientes claves de condición para imponer condiciones al permiso de la acción iam:CreateServiceSpecificCredential:

Control del uso de claves de API de Métricas de CloudWatch

La acción cloudwatch:CallWithBearerToken controla el uso de una clave de API de Métricas de CloudWatch. Para impedir que una identidad use las claves de API de Métricas de CloudWatch, adjunte una política que deniegue la acción cloudwatch:CallWithBearerToken al usuario de IAM asociado a la clave.

Ejemplos de políticas

Impida que una identidad genere y utilice claves de API de Métricas de CloudWatch:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Impida que una identidad utilice claves de API de Métricas de CloudWatch:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Permita la creación de claves de Métricas de CloudWatch solo si caducan en un plazo de 90 días:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Uso de tokens de portador con el recopilador de OpenTelemetry

Al utilizar tokens de portador, no necesita la extensión sigv4auth. Use la extensión bearertokenauth para proporcionar de forma segura la clave de API desde un archivo o variable de entorno:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Como alternativa, puede hacer referencia a una variable de entorno en lugar de un archivo:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Rotación de las claves de API

Rotar las claves de API reduce el riesgo de acceso no autorizado. Recomendamos establecer un programa de rotación que se ajuste a las políticas de seguridad de la organización.

Proceso de rotación

Para rotar una clave de API sin interrumpir la entrega de métricas, siga este procedimiento:

Supervisión de la caducidad de claves

Para comprobar la fecha de creación y el estado de las claves de API existentes, use el comando list-service-specific-credentials:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

La respuesta incluye CreateDate y Status para cada credencial. Use esta información para identificar las claves que están a punto de caducar o que han estado activas durante más tiempo del que permite la política de rotación.

Respuesta a una clave de API comprometida

Si sospecha que una clave de API se ha visto comprometida, siga estos pasos de inmediato:

También puede usar las siguientes operaciones de la API de IAM para administrar las claves comprometidas:

Prácticas recomendadas de seguridad para claves de API

Siga estas prácticas recomendadas para proteger las claves de API de Métricas de CloudWatch:

Registro del uso de claves de API con CloudTrail

Puede usar AWS CloudTrail para registrar eventos de datos para la ingesta de OTLP de Métricas de CloudWatch. CloudWatch emite eventos de datos AWS::CloudWatch::Metric para las llamadas al punto de conexión de OTLP, lo que le permite auditar la actividad de ingesta de métricas, incluido el uso de claves de API.

El filtro readOnly: false limita el registro a las operaciones de escritura (PutMetricData), que incluyen todas las llamadas de ingesta de OTLP. Para identificar el uso del token de portador entre estos eventos, consulte los registros de seguimiento (a través de Athena o CloudTrail Lake) y filtre por el nombre de usuario de IAM asociado a la clave de API (por ejemplo, cloudwatch-metrics-api-key-user). Los eventos de ingesta de OTLP incluyen AdditionalEventData.protocol establecido en OTLP en la carga útil del evento, que puede usar en consultas más adelante para distinguirlos de las llamadas clásicas al SDK PutMetricData.