Configurar autenticação do token do portador para Metrics

Antes de enviar métricas usando a autenticação de token do portador com o endpoint OTLP do CloudWatch, você precisa:

Opção 1: início rápido usando o console da AWS

O AWS Management Console disponibiliza um fluxo de trabalho simplificado para gerar chaves de API para acesso ao endpoint OTLP.

O console automaticamente:

Opção 2: configuração manual

Se você preferir ter mais controle sobre a configuração do IAM ou precisar personalizar as permissões, você pode configurar o acesso ao endpoint OTLP manualmente.

Etapa 1: criar um usuário do IAM

Crie um usuário do IAM para ingestão de métricas:

Etapa 2: gerar credenciais específicas do serviço (chave de API)

Gere a chave da API CloudWatch Metrics usando a API CreateServiceSpecificCredential. Também é possível utilizar o comando da AWS CLI create-service-specific-credential. Para o prazo de validade da credencial, você pode especificar um valor entre 1 e 36.600 dias. Se você não especificar o prazo de validade de uma credencial, a chave da API não expirará.

Para gerar uma chave de API com validade de 30 dias:

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

A resposta é um objeto ServiceSpecificCredential. O valor ServiceCredentialSecret é sua chave de API do CloudWatch Metrics (token do portador).

Etapa 3: enviar métricas

Você pode enviar métricas imediatamente para o endpoint OTLP usando seu token do portador:

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

O endpoint aceita ambos os tipos de conteúdo application/json e application/x-protobuf.

Controlar as permissões para gerar e usar as chaves de API do CloudWatch Metrics

Controlar a geração de chaves de API do CloudWatch Metrics

A ação iam:CreateServiceSpecificCredential controla a geração de uma chave específica do serviço (como uma chave de API do CloudWatch Metrics). Você pode definir o escopo dessa ação para usuários do IAM como um recurso para limitar os usuários para os quais uma chave pode ser gerada.

É possível usar as seguintes chaves de condição para impor condições à permissão para a ação iam:CreateServiceSpecificCredential:

Como controlar o uso de chaves de API do CloudWatch Metrics

A ação cloudwatch:CallWithBearerToken controla o uso de uma chave de API do CloudWatch Metrics. Para evitar que uma identidade use as chaves de API do CloudWatch Metrics, anexe uma política que negue a ação cloudwatch:CallWithBearerToken ao usuário do IAM associado à chave.

Exemplo de política

Evite que uma identidade gere e use as chaves de API do CloudWatch Metrics:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Evite que uma identidade use as chaves de API do CloudWatch Metrics:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Permita a criação de chaves do CloudWatch Metrics somente se elas expirarem dentro de 90 dias:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Como usar tokens de portador com o OpenTelemetry Collector

Ao usar tokens de portador, você não precisa da extensão sigv4auth. Use a extensão bearertokenauth para fornecer com segurança sua chave de API a partir de um arquivo ou variável de ambiente:

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Como alternativa, você pode referenciar uma variável de ambiente em vez de um arquivo:

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

Rotação de chaves de API

Rotacionar as chaves de API regularmente reduz o risco de acesso não autorizado. Recomendamos estabelecer um cronograma de rotação que se alinhe às políticas de segurança da sua organização.

Processo de rotação

Para rotacionar uma chave de API sem interromper a entrega da métrica, siga este procedimento:

Monitoramento da validade das chaves

Para verificar a data de criação e o status de suas chaves de API existentes, use o comando list-service-specific-credentials:

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

A resposta inclui a CreateDate e o Status de cada credencial. Use essas informações para identificar chaves que estão prestes a expirar ou que estão ativas há mais tempo do que sua política de rotação permite.

Como responder a uma chave de API comprometida

Se você suspeitar que uma chave de API foi comprometida, execute as seguintes etapas imediatamente:

Também é possível utilizar as seguintes operações de API do IAM para gerenciar as chaves comprometidas:

Práticas recomendadas de segurança para chaves de API

Siga estas práticas recomendadas para proteger as chaves de API do CloudWatch Metrics:

Como registrar em log o uso da chave de API com o CloudTrail

Você pode usar o AWS CloudTrail para registrar em log os eventos de dados para ingestão de OTLP do CloudWatch Metrics. O CloudWatch emite eventos de dados AWS::CloudWatch::Metric para chamadas para o endpoint OTLP, permitindo que você audite a atividade de ingestão de métricas, incluindo o uso da chave de API.

O filtro readOnly: false limita o registro em log às operações de gravação (PutMetricData), que inclui todas as chamadas de ingestão de OTLP. Para identificar o uso do token de portador entre esses eventos, consulte seus logs de trilhas (via Athena ou CloudTrail Lake) e filtre pelo nome de usuário do IAM associado à sua chave de API (por exemplo, cloudwatch-metrics-api-key-user). Os eventos da ingestão de OTLP incluem AdditionalEventData.protocol definido para OTLP na carga útil do evento, que você pode usar em consultas post-hoc para diferenciá-los das chamadas clássicas do SDK PutMetricData.