メトリクスのベアラートークン認証の設定

CloudWatch OTLP エンドポイントでベアラートークン認証を使用してメトリクスを送信する前に、以下の操作を行う必要があります。

オプション 1: AWS コンソールを使用したクイックスタート

AWS マネジメントコンソールは、OTLP エンドポイントアクセス用の API キーを生成するための効率化されたワークフローを提供します。

コンソールは自動的に以下の操作を実行します。

オプション 2: 手動セットアップ

IAM 設定をより詳細に制御したい場合、またはアクセス許可をカスタマイズする必要がある場合は、OTLP エンドポイントアクセスを手動で設定できます。

ステップ 1:IAM ユーザーを作成

メトリクス取り込み用の IAM ユーザーを作成します。

ステップ 2: サービス固有の認証情報 (API キー) を生成

CreateServiceSpecificCredential API を使用して CloudWatch Metrics API キーを生成します。create-service-specific-credential AWS CLI コマンドを使用することもできます。認証情報の有効期間には、1～36,600 日の範囲で値を指定できます。認証情報の有効期間を指定しない場合、API キーの期限切れは発生しません。

有効期限が 30 日の API キーを生成するには

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

レスポンスは ServiceSpecificCredential オブジェクトです。ServiceCredentialSecret 値は CloudWatch Metrics API キー (ベアラートークン) です。

ステップ 3: メトリクスを送信

ベアラートークンを使用すれば、OTLP エンドポイントにメトリクスを即座に送信できます。

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

エンドポイントは、application/json と application/x-protobuf の両方のコンテンツタイプを受け入れます。

CloudWatch Metrics API キーを生成して使用するためのアクセス許可を制御する

CloudWatch Metrics API キーの生成を制御する

iam:CreateServiceSpecificCredential アクションは、サービス固有のキー (CloudWatch Metrics API キーなど) の生成を制御します。このアクションの範囲をリソースとして IAM ユーザーに限定し、キーを生成できるユーザーを制限できます。

次の条件キーを使用して、iam:CreateServiceSpecificCredential アクションのアクセス許可に条件を課すことができます。

CloudWatch Metrics API キーの使用を制御する

cloudwatch:CallWithBearerToken アクションは、CloudWatch Metrics API キーの使用を制御します。ID による CloudWatch Metrics API キーの使用を防ぐには、キーに関連付けられた IAM ユーザーに、cloudwatch:CallWithBearerToken アクションを拒否するポリシーをアタッチします。

ポリシーの例

ID による CloudWatch Metrics API キーの生成および使用を防ぐ

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

ID による CloudWatch Metrics API キーの使用を防ぐ

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

CloudWatch Metrics キーの作成は、有効期限が 90 日以内の場合にのみ許可する

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

OpenTelemetry Collector でのベアラートークンの使用

ベアラートークンを使用する場合、sigv4auth 拡張機能は必要ありません。bearertokenauth 拡張機能を使用して、ファイルまたは環境変数から API キーをセキュアに指定します。

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

あるいは、ファイルの代わりに環境変数を参照することも可能です。

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

API キーのローテーション

API キーを定期的にローテーションすることで、不正アクセスのリスクが低減します。組織のセキュリティポリシーに準拠したローテーションスケジュールを策定することをお勧めします。

ローテーションプロセス

メトリクスの配信を中断することなく API キーをローテーションするには、次の手順に従ってください。

キーの有効期限のモニタリング

既存の API キーの作成日とステータスを確認するには、list-service-specific-credentials コマンドを使用します。

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

レスポンスには、各認証情報の CreateDate と Status が含まれています。この情報を使用して、有効期限が迫っているキーや、ローテーションポリシーで許可されているよりも長い期間アクティブな状態にあるキーを特定します。

侵害された API キーへの対応

API キーが侵害された疑いがある場合は、直ちに次の手順を実行してください。

次の IAM API オペレーションを使用して、侵害されたキーを管理することもできます。

API キーのセキュリティのベストプラクティス

CloudWatch Metrics API キーを保護するには、次のベストプラクティスに従います。

CloudTrail による API キーの使用状況のログ記録

AWS CloudTrail を使用して、CloudWatch Metrics OTLP 取り込みのデータイベントをログ記録できます。CloudWatch は OTLP エンドポイントへの呼び出しに対して AWS::CloudWatch::Metric データイベントを出力するため、API キーの使用状況を含むメトリクスの取り込みアクティビティを監査できるようになります。

readOnly: false フィルターを使用すると、ログ記録の対象が、すべての OTLP 取り込み呼び出しを含む書き込みオペレーション (PutMetricData) に限定されます。これらのイベント内でのベアラートークンの使用状況を特定するには、証跡ログにクエリを実行し (Athena または CloudTrail Lake を使用)、API キーに関連付けられた IAM ユーザー名 (例: cloudwatch-metrics-api-key-user) でフィルタリングします。OTLP 取り込みから生成されるイベントには、イベントペイロード内の OTLP に設定された状態の AdditionalEventData.protocol が含まれており、この情報をポストホッククエリで使用することで、従来の PutMetricData SDK コールと区別することができます。