보유자 토큰 인증 설정

콘솔을 사용하여 HTTP 엔드포인트 액세스를 설정하려면

1. AWS Management Console에 로그인합니다.

2. CloudWatch > 설정 > 로그로 이동합니다.

3. API 키 섹션에서 API 키 생성을 선택합니다.

4. API 키 만료가 된 경우 다음 중 하나를 수행하세요..

   • 1, 5, 30, 90 또는 365일의 API 키 만료 기간을 선택합니다.

   • 사용자 지정 기간을 선택하여 사용자 지정 API 키 만료 날짜를 지정합니다.

   • 만료되지 않음을 선택합니다(권장되지 않음).

5. API 키 생성을 선택합니다.

   콘솔은 자동으로 다음을 수행합니다.

   • 적절한 권한을 가진 새 IAM 사용자를 생성합니다.

   • CloudWatchLogsAPIKeyAccess 관리형 정책( logs:PutLogEvents 및 logs:CallWithBearerToken 권한 포함)을 연결합니다.

   • 서비스별 자격 증명(API 키)을 생성합니다.

6. 표시된 자격 증명을 복사하고 안전하게 저장합니다.

   • API 키 ID(서비스별 자격 증명 ID)

   • API 키 보안 암호(베어러 토큰)

   중요

   API 키 보안 암호를 즉시 저장합니다. 나중에는 조회할 수 없습니다. 분실한 경우 새 API 키를 생성해야 합니다.

7. 로그가 저장될 로그 그룹 및 로그 스트림을 생성합니다.

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. 로그 그룹에서 보유자 토큰 인증을 활성화합니다.

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   구성을 확인합니다.

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. AWS Management Console에 로그인하고 IAM으로 이동합니다.

2. 왼쪽 탐색 창에서 사용자를 선택합니다.

3. 사용자 생성을 선택합니다.

4. 사용자 이름(예: cloudwatch-logs-hlc-user)을 입력합니다.

5. 다음을 선택합니다.

6. 다음 IAM 정책 중 하나를 연결합니다.

   옵션 A: 관리형 정책 사용(권장)

   CloudWatchLogsAPIKeyAccess 관리형 정책을 연결합니다.

   옵션 B: 사용자 지정 정책 생성

   다음 IAM 정책을 생성하고 연결합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. 다음을 선택한 후 사용자 생성을 선택합니다.

1. IAM 사용자를 위한 새 (보조) 자격 증명을 생성합니다.

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (선택 사항) 보안 검색 및 자동 교체를 AWS Secrets Manager 위해에 새 자격 증명을 저장합니다.

3. 새 자격 증명을 공급업체의 포털로 가져오거나 새 API 키를 사용하도록 애플리케이션 구성을 업데이트합니다.

4. 원래 자격 증명을 비활성으로 설정합니다.

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. CloudWatch에서 로그 그룹의 IncomingBytes 지표를 모니터링하여 로그 전송이 영향을 받지 않는지 확인합니다. 자세한 내용은 CloudWatch 지표를 사용한 모니터링을 참조하세요.

6. 새 키로 전송 성공 여부를 확인한 후 이전 자격 증명을 삭제합니다.

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. 추가 무단 사용을 방지하려면 키를 즉시 비활성화합니다.

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. CloudTrail 로그를 검토하여 무단 액세스 범위를 결정합니다. API 키 사용에 CloudTrail을 사용하여 API 키 사용량 로깅 대한 감사를 활성화하는 방법은 섹션을 참조하세요.

3. 에 설명된 교체 프로세스에 따라 대체 키를 생성합니다교체 프로세스.

4. 교체가 적용된 후 손상된 키를 삭제합니다.

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. 조사하는 동안 IAM 사용자의 모든 보유자 토큰 액세스를 즉시 차단해야 하는 경우 거부 정책을 연결합니다.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. 추적 생성:

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. CloudWatch Logs 로그 그룹 권한 부여 이벤트를 캡처하도록 고급 이벤트 선택기를 구성합니다.

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. 추적 로깅 시작:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1