Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione dell'autenticazione con token al portatore per Metrics

Prima di poter inviare le metriche utilizzando l'autenticazione con token al portatore con l'endpoint OTLP, devi: CloudWatch

Opzione 1: avvio rapido a utilizzare AWS console

La console AWS di gestione offre un flusso di lavoro semplificato per generare chiavi API per l'accesso agli endpoint OTLP.

La console automaticamente:

Opzione 2: configurazione manuale

Se preferisci un maggiore controllo sulla configurazione IAM o devi personalizzare le autorizzazioni, puoi configurare manualmente l'accesso agli endpoint OTLP.

Passaggio 1: creare un utente IAM

Crea un utente IAM per l'inserimento di metriche:

Fase 2: Generazione di credenziali specifiche per il servizio (chiave API)

Genera la chiave API CloudWatch Metrics utilizzando l'API. CreateServiceSpecificCredential Puoi anche utilizzare il comando AWS CLI create-service-specific-credential. Per l'età delle credenziali, puoi specificare un valore compreso tra 1 e 36600 giorni. Se non specifichi l'età delle credenziali, la chiave API non scadrà.

Per generare una chiave API con una scadenza di 30 giorni:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

La risposta è un ServiceSpecificCredentialoggetto. Il ServiceCredentialSecret valore è la tua chiave API CloudWatch Metrics (token bearer).

Fase 3: Inviare metriche

Puoi inviare immediatamente le metriche all'endpoint OTLP utilizzando il tuo token bearer:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

L'endpoint accetta entrambi i tipi di contenuto. application/json application/x-protobuf

Controlla le autorizzazioni per la generazione e l'utilizzo delle chiavi API CloudWatch Metrics

Controllo della generazione di chiavi API CloudWatch Metrics

L'iam:CreateServiceSpecificCredentialazione controlla la generazione di una chiave specifica del servizio (come una chiave API CloudWatch Metrics). È possibile questa azione agli utenti IAM come una risorsa per limitare gli utenti per cui è possibile generare una chiave.

Per imporre condizioni all’autorizzazione per l’azione iam:CreateServiceSpecificCredential, è possibile utilizzare le chiavi di condizione seguenti:

Controllo dell'utilizzo delle chiavi API CloudWatch Metrics

L'cloudwatch:CallWithBearerTokenazione controlla l'uso di una chiave API CloudWatch Metrics. Per impedire a un'identità di utilizzare le chiavi dell'API CloudWatch Metrics, allega una policy che neghi l'cloudwatch:CallWithBearerTokenazione all'utente IAM associato alla chiave.

Policy di esempio

Impedisci a un'identità di generare e utilizzare le chiavi API Metrics: CloudWatch

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Impedisci a un'identità di utilizzare le CloudWatch chiavi API Metrics:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Consenti la creazione di chiavi CloudWatch Metrics solo se scadono entro 90 giorni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Utilizzo di gettoni al portatore con il Collector OpenTelemetry

Quando si utilizzano token bearer, non è necessaria l'estensione. sigv4auth Usa l'estensione bearertokenauth per fornire in modo sicuro la tua chiave API da un file o da una variabile di ambiente:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

In alternativa, puoi fare riferimento a una variabile di ambiente anziché a un file:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Chiavi API rotanti

La rotazione regolare delle chiavi API riduce il rischio di accessi non autorizzati. Ti consigliamo di stabilire un programma di rotazione in linea con le politiche di sicurezza dell'organizzazione.

Processo di rotazione

Per ruotare una chiave API senza interrompere l'erogazione delle metriche, segui questa procedura:

Monitoraggio della scadenza delle chiavi

Per verificare la data di creazione e lo stato delle chiavi API esistenti, usa il comando list-service-specific-credentials:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

La risposta include e per ogni credenziale. CreateDate Status Utilizza queste informazioni per identificare le chiavi che stanno per scadere o che sono state attive più a lungo di quanto consentito dalla politica di rotazione.

Risposta a una chiave API compromessa

Se sospetti che una chiave API sia stata compromessa, procedi immediatamente come segue:

Puoi anche utilizzare le seguenti operazioni dell'API IAM per gestire le chiavi compromesse:

Le migliori pratiche di sicurezza per le chiavi API

Segui queste best practice per proteggere le tue chiavi API CloudWatch Metrics:

Registrazione dell'utilizzo delle chiavi API con CloudTrail

Puoi utilizzarlo AWS CloudTrail per registrare gli eventi relativi ai dati per l'ingestione di CloudWatch Metrics OTLP. CloudWatch emette eventi di AWS::CloudWatch::Metric dati per le chiamate all'endpoint OTLP, consentendoti di controllare l'attività di inserimento delle metriche, incluso l'utilizzo delle chiavi API.

Il readOnly: false filtro limita la registrazione alle operazioni di scrittura (PutMetricData), che includono tutte le chiamate di ingestione OTLP. Per identificare l'utilizzo del token bearer tra questi eventi, interroga i trail log (tramite Athena o CloudTrail Lake) e filtra in base al nome utente IAM associato alla chiave API (ad esempio,). cloudwatch-metrics-api-key-user Gli eventi derivanti dall'inserimento di OTLP sono AdditionalEventData.protocol impostati nel payload degli eventi, che puoi utilizzare OTLP nelle query post-hoc per distinguerli dalle classiche chiamate SDK. PutMetricData