Menyiapkan otentikasi token pembawa

Untuk mengatur akses titik akhir HTTP menggunakan konsol

1. Masuk ke Konsol AWS Manajemen.

2. Arahkan CloudWatchke> Pengaturan> Log.

3. Di bagian API Keys, pilih Generate API key.

4. Untuk kedaluwarsa kunci API, lakukan salah satu hal berikut:

   • Pilih durasi kedaluwarsa kunci API 1, 5, 30, 90, atau 365 hari.

   • Pilih Durasi kustom untuk menentukan tanggal kedaluwarsa kunci API kustom.

   • Pilih Jangan pernah kedaluwarsa (tidak disarankan).

5. Pilih Hasilkan kunci API.

   Konsol secara otomatis:

   • Membuat pengguna IAM baru dengan izin yang sesuai

   • Melampirkan kebijakan terkelola CloudWatchLogsAPIKeyAccess (termasuk logs:PutLogEvents dan logs:CallWithBearerToken izin)

   • Menghasilkan kredensi khusus layanan (kunci API)

6. Salin dan simpan kredenal yang ditampilkan dengan aman:

   • ID Kunci API (ID kredensi khusus layanan)

   • Rahasia Kunci API (Token pembawa)

   penting

   Simpan Rahasia Kunci API segera. Hal itu tidak dapat diambil lagi nanti. Jika Anda kehilangannya, Anda harus membuat kunci API baru.

7. Buat grup log dan aliran log tempat log Anda akan disimpan:

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. Aktifkan otentikasi token pembawa pada grup log:

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   Verifikasi konfigurasi:

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. Masuk ke AWS Management Console dan navigasikan ke IAM.

2. Pada panel navigasi kiri, pilih Pengguna.

3. Pilih Create user (Buat pengguna).

4. Masukkan nama pengguna (misalnya,cloudwatch-logs-hlc-user).

5. Pilih Berikutnya.

6. Lampirkan salah satu kebijakan IAM berikut:

   Opsi A: Gunakan kebijakan terkelola (disarankan)

   Lampirkan kebijakan terkelola CloudWatchLogsAPIKeyAccess.

   Opsi B: Buat kebijakan khusus

   Buat dan lampirkan kebijakan IAM berikut:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Pilih Berikutnya dan kemudian Buat pengguna.

1. Buat kredensi baru (sekunder) untuk pengguna IAM:

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (Opsional) Simpan kredensi baru AWS Secrets Manager untuk pengambilan aman dan rotasi otomatis.

3. Impor kredensi baru ke portal vendor Anda atau perbarui konfigurasi aplikasi Anda untuk menggunakan kunci API baru.

4. Setel kredensi asli menjadi tidak aktif:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. Verifikasi bahwa pengiriman log tidak terpengaruh dengan memantau IncomingBytes metrik untuk grup log Anda. CloudWatch Untuk informasi selengkapnya, lihat Memantau dengan CloudWatch metrik.

6. Setelah mengonfirmasi pengiriman yang berhasil dengan kunci baru, hapus kredensi sebelumnya:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. Nonaktifkan kunci segera untuk mencegah penggunaan tidak sah lebih lanjut:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. Tinjau CloudTrail log untuk menentukan ruang lingkup akses yang tidak sah. Lihat Pencatatan penggunaan kunci API dengan CloudTrail cara mengaktifkan audit penggunaan kunci API.

3. Buat kunci pengganti mengikuti proses rotasi yang dijelaskan dalamProses rotasi.

4. Hapus kunci yang disusupi setelah penggantian dilakukan:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. Lampirkan kebijakan penolakan jika Anda perlu segera memblokir semua akses token pembawa untuk pengguna IAM saat Anda menyelidiki:

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. Buat jejak:

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. Konfigurasikan pemilih acara lanjutan untuk menangkap peristiwa otorisasi grup CloudWatch log Log:

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. Mulai pencatatan jejak:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1