ベアラートークン認証の設定

コンソールを使用して HTTP エンドポイントアクセスを設定するには

1. AWS マネジメントコンソールにサインインします。

2. CloudWatch > Settings > Logs に移動します。

3. API キー セクションで、API キーの生成 を選択します。

4. API キーの有効期限について、以下のいずれかを実行します。

   • API キーの有効期限として 1、5、30、90、または 365 日を選択します。

   • カスタム期間を選択して、カスタム API キーの有効期限を指定します。

   • 選択 有効期限なし (推奨されません）。

5. [API キーの生成] を選択します。

   コンソールは自動的に以下を実行します。

   • 適切なアクセス許可を持つ新しい IAM ユーザーを作成します

   • CloudWatchLogsAPIKeyAccess 管理ポリシー ( logs:PutLogEventsおよび アクセスlogs:CallWithBearerToken許可を含む) をアタッチします

   • サービス固有の認証情報を生成します (API キー)

6. 表示された認証情報をコピーして安全に保存します。

   • API キー ID (サービス固有の認証情報 ID)

   • API キーシークレット (ベアラートークン)

   重要

   API キーシークレットをすぐに保存します。このキーは後で取得することはできません。紛失した場合は、新しい API キーを生成する必要があります。

7. ログを保存するロググループとログストリームを作成します。

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. ロググループでベアラートークン認証を有効にします。

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   設定の検証:

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. AWS マネジメントコンソールにサインインし、IAM に移動します。

2. 左のナビゲーションペインで、[ユーザー] を選択します。

3. [ユーザーの作成] を選択します。

4. ユーザー名 ( などcloudwatch-logs-hlc-user) を入力します。

5. [次へ] を選択します。

6. 次のいずれかの IAM ポリシーをアタッチします。

   オプション A: 管理ポリシーを使用する (推奨)

   CloudWatchLogsAPIKeyAccess 管理ポリシーをアタッチします。

   オプション B: カスタムポリシーを作成する

   次の IAM ポリシーを作成してアタッチします。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Next を選択し、Create user を選択します。

1. IAM ユーザーの新しい (セカンダリ) 認証情報を作成します。

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (オプション) 安全な取得と自動ローテーション AWS Secrets Manager のために、新しい認証情報を に保存します。

3. 新しい認証情報をベンダーのポータルにインポートするか、アプリケーション設定を更新して新しい API キーを使用します。

4. 元の認証情報を非アクティブに設定します。

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. CloudWatch でロググループのIncomingBytesメトリクスをモニタリングすることで、ログ配信に影響がないことを確認します。詳細については、「CloudWatch メトリクスでのモニタリング」を参照してください。

6. 新しいキーで正常に配信されたことを確認したら、前の認証情報を削除します。

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. キーをすぐに無効にして、それ以上の不正使用を防止します。

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. CloudTrail ログを確認して、不正アクセスの範囲を判断します。API キーの使用状況の監査を有効にする方法については、CloudTrail を使用した API キーの使用状況のログ記録「」を参照してください。

3. 「」で説明されているローテーションプロセスに従って代替キーを作成しますローテーションプロセス。

4. 置換が完了したら、侵害されたキーを削除します。

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. 調査中に IAM ユーザーのすべてのベアラートークンアクセスを直ちにブロックする必要がある場合は、拒否ポリシーをアタッチします。

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. 証跡を作成します。

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. CloudWatch Logs ロググループ認可イベントをキャプチャするように高度なイベントセレクタを設定します。

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. 証跡のログ記録を開始する:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1