Configurazione dell'autenticazione con token al portatore

Per configurare l'accesso agli endpoint HTTP utilizzando la console

1. Accedi alla console di AWS gestione.

2. Vai a CloudWatch> Impostazioni > Registri.

3. Nella sezione Chiavi API, scegli Genera chiave API.

4. Per Scadenza della chiave API, esegui una delle seguenti operazioni:

   • Seleziona una durata di scadenza della chiave API di 1, 5, 30, 90 o 365 giorni.

   • Scegli Durata personalizzata per specificare una data di scadenza della chiave API personalizzata.

   • Seleziona Non scade mai (scelta non consigliata).

5. Scegli Genera chiave API.

   La console automaticamente:

   • Crea un nuovo utente IAM con le autorizzazioni appropriate

   • Allega la policy gestita di CloudWatchLogsAPIKeyAccess (include logs:PutLogEvents e logs:CallWithBearerToken autorizzazioni)

   • Genera credenziali specifiche del servizio (chiave API)

6. Copia e salva in modo sicuro le credenziali visualizzate:

   • ID chiave API (ID credenziale specifico del servizio)

   • Chiave API segreta (token Bearer)

   Importante

   Salva immediatamente l'API Key Secret. Non può essere recuperata più tardi. Se la perdi, dovrai generare una nuova chiave API.

7. Crea il gruppo di log e il flusso di log in cui verranno archiviati i log:

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. Abilita l'autenticazione con token al portatore sul gruppo di log:

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   Verifica la configurazione:

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. Accedi alla console di AWS gestione e accedi a IAM.

2. Nel riquadro di navigazione a sinistra, seleziona Users (Utenti).

3. Selezionare Create user (Crea utente).

4. Inserisci un nome utente (ad esempio,cloudwatch-logs-hlc-user).

5. Scegli Next (Successivo).

6. Allega una delle seguenti politiche IAM:

   Opzione A: utilizza la policy gestita (consigliata)

   Allega la policy gestita di CloudWatchLogsAPIKeyaccesso.

   Opzione B: creare una politica personalizzata

   Crea e allega la seguente policy IAM:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Scegli Avanti, quindi Crea utente.

1. Crea una nuova credenziale (secondaria) per l'utente IAM:

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (Facoltativo) Archivia la nuova credenziale Gestione dei segreti AWS per il recupero sicuro e la rotazione automatica.

3. Importa la nuova credenziale nel portale del fornitore o aggiorna la configurazione dell'applicazione per utilizzare la nuova chiave API.

4. Imposta la credenziale originale su inattiva:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. Verifica che la consegna dei log non sia influenzata dal monitoraggio della IncomingBytes metrica relativa al tuo gruppo di log in. CloudWatch Per ulteriori informazioni, consulta Monitoraggio con CloudWatch metriche.

6. Dopo aver confermato l'avvenuta consegna con la nuova chiave, elimina la credenziale precedente:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. Disattiva immediatamente la chiave per evitare ulteriori utilizzi non autorizzati:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. CloudTrail Esamina i log per determinare l'ambito dell'accesso non autorizzato. Scopri Registrazione dell'utilizzo delle chiavi API con CloudTrail come abilitare il controllo dell'utilizzo delle chiavi API.

3. Crea una chiave sostitutiva seguendo il processo di rotazione descritto inProcesso di rotazione.

4. Eliminare la chiave compromessa dopo aver effettuato la sostituzione:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. Allega una politica di rifiuto se devi bloccare immediatamente l'accesso a tutti i token portatori per l'utente IAM durante le indagini:

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. Crea un percorso:

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. Configura i selettori di eventi avanzati per acquisire gli eventi di autorizzazione dei gruppi di CloudWatch log log:

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. Inizia la registrazione dei percorsi:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1