Configurando a autenticação do token do portador

Para configurar o acesso ao endpoint HTTP usando o console

1. Faça login no AWS Management Console.

2. Navegue até CloudWatch> Configurações > Registros.

3. Na seção Chaves de API, escolha Gerar chave de API.

4. Em Validade da chave de API, faça uma das seguintes opções:

   • Selecione uma duração de expiração da chave de API de 1, 5, 30, 90 ou 365 dias.

   • Escolha Duração personalizada para especificar uma data de validade personalizada para a chave de API.

   • Selecione Nunca expira (não recomendado).

5. Escolha Gerar chave de API.

   O console automaticamente:

   • Cria um novo usuário do IAM com as permissões apropriadas

   • Anexa a política gerenciada do CloudWatchLogsAPIKeyAccess (inclusões logs:PutLogEvents e logs:CallWithBearerToken permissões)

   • Gera credenciais específicas do serviço (chave de API)

6. Copie e salve com segurança as credenciais exibidas:

   • ID da chave de API (ID de credencial específica do serviço)

   • Segredo da chave da API (token do portador)

   Importante

   Salve o segredo da chave de API imediatamente. Ela não poderá ser recuperada posteriormente. Se você a perder, precisará gerar uma nova chave de API.

7. Crie o grupo de registros e o fluxo de registros em que seus registros serão armazenados:

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. Ative a autenticação do token do portador no grupo de registros:

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   Verifique a configuração:

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. Faça login no AWS Management Console e navegue até o IAM.

2. No painel de navegação à esquerda, escolha Usuários.

3. Selecione Criar usuário.

4. Insira um nome de usuário (por exemplo,cloudwatch-logs-hlc-user).

5. Escolha Próximo.

6. Anexe uma das seguintes políticas do IAM:

   Opção A: usar a política gerenciada (recomendada)

   Anexe a política gerenciada do CloudWatchLogsAPIKeyAccess.

   Opção B: criar uma política personalizada

   Crie e anexe a seguinte política do IAM:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. Escolha Avançar e, em seguida, Criar usuário.

1. Crie uma nova credencial (secundária) para o usuário do IAM:

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. (Opcional) Armazene a nova credencial AWS Secrets Manager para recuperação segura e rotação automatizada.

3. Importe a nova credencial para o portal do seu fornecedor ou atualize a configuração do seu aplicativo para usar a nova chave de API.

4. Defina a credencial original como inativa:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. Verifique se a entrega de registros não é afetada monitorando a IncomingBytes métrica do seu grupo de registros em CloudWatch. Para obter mais informações, consulte Monitoramento com CloudWatch métricas.

6. Depois de confirmar a entrega bem-sucedida com a nova chave, exclua a credencial anterior:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. Desative a chave imediatamente para evitar mais uso não autorizado:

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. Analise CloudTrail os registros para determinar o escopo do acesso não autorizado. Veja Registrando o uso da chave de API com CloudTrail como habilitar a auditoria do uso da chave de API.

3. Crie uma chave de substituição seguindo o processo de rotação descrito emProcesso de rotação.

4. Exclua a chave comprometida depois que a substituição estiver em vigor:

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. Anexe uma política de negação se precisar bloquear imediatamente todo o acesso ao token portador do usuário do IAM durante a investigação:

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. Crie uma trilha:

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. Configure seletores de eventos avançados para capturar eventos de autorização de grupos de CloudWatch registros de registros:

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. Inicie o registro de trilhas:

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1