Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de l'authentification par jeton porteur pour Metrics

Avant de pouvoir envoyer des métriques à l'aide de l'authentification par jeton porteur avec le point de terminaison CloudWatch OTLP, vous devez :

Option 1 : Démarrage rapide à l'aide du AWS console

La console AWS de gestion fournit un flux de travail rationalisé pour générer des clés d'API pour l'accès aux terminaux OTLP.

La console :

Option 2 : Configuration manuelle

Si vous préférez mieux contrôler la configuration IAM ou si vous devez personnaliser les autorisations, vous pouvez configurer manuellement l'accès au point de terminaison OTLP.

Étape 1 : créer un utilisateur IAM

Créez un utilisateur IAM pour l'ingestion des métriques :

Étape 2 : générer des informations d'identification spécifiques au service (clé API)

Générez la clé API CloudWatch Metrics à l'aide de l'CreateServiceSpecificCredentialAPI. Vous pouvez également utiliser la commande create-service-specific-credential AWS CLI . Pour l'âge des informations d'identification, vous pouvez spécifier une valeur comprise entre 1 et 36 600 jours. Si vous ne spécifiez pas d'âge pour les informations d'identification, la clé d'API n'expirera pas.

Pour générer une clé d'API dont l'expiration est de 30 jours, procédez comme suit :

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

La réponse est un ServiceSpecificCredentialobjet. La ServiceCredentialSecret valeur est votre clé d'API CloudWatch Metrics (jeton porteur).

Étape 3 : Envoyer des métriques

Vous pouvez immédiatement envoyer des métriques au point de terminaison OTLP à l'aide de votre jeton porteur :

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

Le point de terminaison accepte à la fois application/json les types de application/x-protobuf contenu.

Autorisations de contrôle pour la génération et l'utilisation CloudWatch des clés d'API Metrics

Contrôle de la génération des clés d'API CloudWatch Metrics

L'iam:CreateServiceSpecificCredentialaction contrôle la génération d'une clé spécifique au service (telle qu'une clé d'API CloudWatch Metrics). Vous pouvez étendre cette action aux utilisateurs IAM en tant que ressource afin de limiter le nombre d’utilisateurs pour lesquels une clé peut être générée.

Vous pouvez utilisez les clés de condition suivantes pour imposer des conditions à l’autorisation pour l’action iam:CreateServiceSpecificCredential :

Contrôle de l'utilisation des clés d'API CloudWatch Metrics

L'cloudwatch:CallWithBearerTokenaction contrôle l'utilisation d'une clé d'API CloudWatch Metrics. Pour empêcher une identité d'utiliser CloudWatch les clés de l'API Metrics, associez une politique qui refuse l'cloudwatch:CallWithBearerTokenaction à l'utilisateur IAM associé à la clé.

Exemples de politiques

Empêcher une identité de générer et d'utiliser CloudWatch les clés d'API Metrics :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Empêcher une identité d'utiliser CloudWatch les clés de l'API Metrics :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Autorisez la création de clés de CloudWatch métriques uniquement si elles expirent dans les 90 jours :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Utiliser des jetons au porteur avec le Collector OpenTelemetry

Lorsque vous utilisez des jetons au porteur, vous n'avez pas besoin de l'sigv4authextension. Utilisez l'extension bearertokenauth pour fournir en toute sécurité votre clé d'API à partir d'un fichier ou d'une variable d'environnement :

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Vous pouvez également référencer une variable d'environnement au lieu d'un fichier :

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Rotation des clés API

La rotation régulière de vos clés d'API réduit le risque d'accès non autorisé. Nous vous recommandons d'établir un calendrier de rotation conforme aux politiques de sécurité de votre organisation.

Processus de rotation

Pour faire pivoter une clé d'API sans interrompre la livraison des métriques, procédez comme suit :

Surveillance de l'expiration des clés

Pour vérifier la date de création et le statut de vos clés d'API existantes, utilisez la commande list-service-specific-credentials :

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

La réponse inclut CreateDate et Status pour chaque identifiant. Utilisez ces informations pour identifier les clés qui arrivent à expiration ou qui sont actives depuis plus longtemps que ne le permet votre politique de rotation.

Répondre à une clé d'API compromise

Si vous pensez qu'une clé d'API a été compromise, prenez immédiatement les mesures suivantes :

Vous pouvez également utiliser les opérations d'API IAM suivantes pour gérer les clés compromises :

Bonnes pratiques de sécurité pour les clés d'API

Suivez ces bonnes pratiques pour protéger vos clés d'API CloudWatch Metrics :

Enregistrement de l'utilisation des clés d'API avec CloudTrail

Vous pouvez l'utiliser AWS CloudTrail pour enregistrer les événements de données pour l'ingestion de CloudWatch Metrics OTLP. CloudWatch émet AWS::CloudWatch::Metric des événements de données pour les appels vers le point de terminaison OTLP, ce qui vous permet d'auditer l'activité d'ingestion des métriques, y compris l'utilisation des clés d'API.

Le readOnly: false filtre limite la journalisation aux opérations d'écriture (PutMetricData), qui incluent tous les appels d'ingestion OTLP. Pour identifier l'utilisation du jeton porteur parmi ces événements, interrogez vos journaux de suivi (via Athena CloudTrail ou Lake) et filtrez en fonction du nom d'utilisateur IAM associé à votre clé d'API (par exemple,). cloudwatch-metrics-api-key-user Les événements issus de l'ingestion OTLP sont inclus AdditionalEventData.protocol OTLP dans la charge utile des événements, que vous pouvez utiliser dans les requêtes post-hoc pour les distinguer des appels SDK classiques PutMetricData .