Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan otentikasi token pembawa untuk Metrik

Sebelum Anda dapat mengirim metrik menggunakan otentikasi token pembawa dengan titik akhir CloudWatch OTLP, Anda perlu:

Opsi 1: Mulai cepat menggunakan AWS konsol

AWS Management Console menyediakan alur kerja yang efisien untuk menghasilkan kunci API untuk akses endpoint OTLP.

Konsol secara otomatis:

Opsi 2: Pengaturan manual

Jika Anda lebih suka kontrol lebih besar atas konfigurasi IAM atau perlu menyesuaikan izin, Anda dapat mengatur akses endpoint OTLP secara manual.

Langkah 1: Buat pengguna IAM

Buat pengguna IAM untuk konsumsi metrik:

Langkah 2: Hasilkan kredensyal khusus layanan (kunci API)

Buat kunci API CloudWatch Metrik menggunakan CreateServiceSpecificCredentialAPI. Anda juga dapat menggunakan perintah create-service-specific-credential AWS CLI . Untuk usia kredenal, Anda dapat menentukan nilai antara 1—36600 hari. Jika Anda tidak menentukan usia kredensi, kunci API tidak akan kedaluwarsa.

Untuk membuat kunci API dengan masa kedaluwarsa 30 hari:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

Responsnya adalah ServiceSpecificCredentialobjek. ServiceCredentialSecretNilainya adalah kunci API CloudWatch Metrik Anda (token pembawa).

Langkah 3: Kirim metrik

Anda dapat langsung mengirim metrik ke titik akhir OTLP menggunakan token pembawa Anda:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

Titik akhir menerima keduanya application/json dan jenis application/x-protobuf konten.

Izin kontrol untuk membuat dan menggunakan kunci CloudWatch API Metrik

Mengontrol pembuatan kunci API CloudWatch Metrik

iam:CreateServiceSpecificCredentialTindakan ini mengontrol pembuatan kunci khusus layanan (seperti kunci CloudWatch Metrik API). Anda dapat memberikan cakupan tindakan ini kepada pengguna IAM sebagai sumber daya untuk membatasi pengguna yang kuncinya dapat dibuat.

Anda dapat menggunakan tombol kondisi berikut untuk memaksakan kondisi pada izin untuk iam:CreateServiceSpecificCredential tindakan:

Mengontrol penggunaan kunci API CloudWatch Metrik

cloudwatch:CallWithBearerTokenTindakan mengontrol penggunaan kunci CloudWatch Metrik API. Untuk mencegah identitas menggunakan kunci API CloudWatch Metrik, lampirkan kebijakan yang menolak cloudwatch:CallWithBearerToken tindakan tersebut ke pengguna IAM yang terkait dengan kunci tersebut.

Contoh kebijakan

Mencegah identitas membuat dan menggunakan kunci CloudWatch Metrik API:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Mencegah identitas menggunakan kunci API CloudWatch Metrik:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Izinkan pembuatan kunci CloudWatch Metrik hanya jika mereka kedaluwarsa dalam 90 hari:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Menggunakan token pembawa dengan Kolektor OpenTelemetry

Saat menggunakan token pembawa, Anda tidak memerlukan sigv4auth ekstensi. Gunakan ekstensi bearertokenauth untuk menyediakan kunci API Anda dengan aman dari file atau variabel lingkungan:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Atau, Anda dapat mereferensikan variabel lingkungan alih-alih file:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Memutar kunci API

Memutar kunci API Anda secara teratur mengurangi risiko akses yang tidak sah. Sebaiknya buat jadwal rotasi yang sesuai dengan kebijakan keamanan organisasi Anda.

Proses rotasi

Untuk memutar kunci API tanpa mengganggu pengiriman metrik, ikuti prosedur ini:

Memantau kedaluwarsa kunci

Untuk memeriksa tanggal pembuatan dan status kunci API yang ada, gunakan perintah list-service-specific-credentials:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

Tanggapan tersebut mencakup CreateDate dan Status untuk setiap kredensi. Gunakan informasi ini untuk mengidentifikasi kunci yang mendekati kedaluwarsa atau telah aktif lebih lama dari yang diizinkan oleh kebijakan rotasi Anda.

Menanggapi kunci API yang disusupi

Jika Anda mencurigai bahwa kunci API telah disusupi, segera lakukan langkah-langkah berikut:

Anda juga dapat menggunakan operasi IAM API berikut untuk mengelola kunci yang dikompromikan:

Praktik keamanan terbaik untuk kunci API

Ikuti praktik terbaik ini untuk melindungi kunci API CloudWatch Metrik Anda:

Pencatatan penggunaan kunci API dengan CloudTrail

Anda dapat menggunakan AWS CloudTrail untuk mencatat peristiwa data untuk konsumsi CloudWatch Metrik OTLP. CloudWatch memancarkan peristiwa AWS::CloudWatch::Metric data untuk panggilan ke titik akhir OTLP, memungkinkan Anda untuk mengaudit aktivitas konsumsi metrik termasuk penggunaan kunci API.

readOnly: falseFilter membatasi pencatatan ke operasi tulis (PutMetricData), yang mencakup semua panggilan konsumsi OTLP. Untuk mengidentifikasi penggunaan token pembawa di antara peristiwa ini, kueri log jejak Anda (melalui Athena CloudTrail atau Lake) dan filter berdasarkan nama pengguna IAM yang terkait dengan kunci API Anda (misalnya,). cloudwatch-metrics-api-key-user Peristiwa dari konsumsi OTLP termasuk AdditionalEventData.protocol disetel ke OTLP dalam muatan acara, yang dapat Anda gunakan dalam kueri post-hoc untuk membedakannya dari panggilan SDK klasik. PutMetricData