Configuration de l'authentification par jeton porteur

Pour configurer l'accès au point de terminaison HTTP à l'aide de la console

1. Connectez-vous à la console AWS de gestion.

2. Accédez à CloudWatch> Paramètres > Journaux.

3. Dans la section Clés d'API, choisissez Générer une clé d'API.

4. Pour Epiration de la clé d’API, effectuez l’une des actions suivantes :

   • Sélectionnez une durée d'expiration de la clé d'API de 1, 5, 30, 90 ou 365 jours.

   • Choisissez Durée personnalisée pour spécifier une date d’expiration personnalisée pour la clé d’API.

   • Sélectionnez Ne jamais expirer (non recommandé).

5. Choisissez Générer une clé d’API.

   La console :

   • Crée un nouvel utilisateur IAM doté des autorisations appropriées

   • Joint la politique CloudWatchLogsAPIKeyd'accès géré (logs:PutLogEventsinclusions et logs:CallWithBearerToken autorisations)

   • Génère des informations d'identification spécifiques au service (clé API)

6. Copiez et enregistrez en toute sécurité les informations d'identification affichées :

   • ID de clé d'API (ID d'identification spécifique au service)

   • Secret de la clé API (jeton porteur)

   Important

   Enregistrez immédiatement le secret de la clé API. Vous ne pourrez pas la récupérer ultérieurement. Si vous la perdez, vous devrez générer une nouvelle clé d'API.

7. Créez le groupe de journaux et le flux de journaux dans lesquels vos journaux seront stockés :

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. Activez l'authentification par jeton porteur sur le groupe de journaux :

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   Vérifiez la configuration :

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. Connectez-vous à la console AWS de gestion et accédez à IAM.

2. Dans le volet de navigation de gauche, choisissez Utilisateurs.

3. Choisissez Create user (Créer un utilisateur).

4. Entrez un nom d'utilisateur (par exemple,cloudwatch-logs-hlc-user).

5. Choisissez Suivant.

6. Joignez l'une des politiques IAM suivantes :

   Option A : utiliser la politique gérée (recommandée)

   Joignez la politique de gestion des CloudWatchLogsAPIKeyaccès.

   Option B : créer une politique personnalisée

   Créez et attachez la politique IAM suivante :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Choisissez Suivant, puis Créer un utilisateur.

1. Créez un nouvel identifiant (secondaire) pour l'utilisateur IAM :

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (Facultatif) Stockez les nouvelles informations d'identification AWS Secrets Manager pour une récupération sécurisée et une rotation automatique.

3. Importez les nouvelles informations d'identification dans le portail de votre fournisseur ou mettez à jour la configuration de votre application pour utiliser la nouvelle clé d'API.

4. Définissez les informations d'identification d'origine sur inactive :

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. Vérifiez que la livraison des journaux n'est pas affectée en surveillant la IncomingBytes métrique relative à votre groupe de connexions CloudWatch. Pour plus d'informations, consultez la section Surveillance à l'aide de CloudWatch métriques.

6. Après avoir confirmé la livraison réussie avec la nouvelle clé, supprimez les informations d'identification précédentes :

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. Désactivez immédiatement la clé pour empêcher toute nouvelle utilisation non autorisée :

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. Passez en revue les CloudTrail journaux pour déterminer l'étendue des accès non autorisés. Découvrez Enregistrement de l'utilisation des clés d'API avec CloudTrail comment activer l'audit de l'utilisation des clés d'API.

3. Créez une clé de remplacement en suivant le processus de rotation décrit dansProcessus de rotation.

4. Supprimez la clé compromise une fois que la clé de remplacement est en place :

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. Ajoutez une politique de refus si vous devez immédiatement bloquer l'accès à tout jeton porteur pour l'utilisateur IAM pendant que vous étudiez :

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. Créez un parcours :

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. Configurez des sélecteurs d'événements avancés pour capturer CloudWatch les événements d'autorisation des groupes de journaux journaux :

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. Commencez à enregistrer les sentiers :

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1