As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Usar o Amazon SNS como receptor de alertas Você pode usar um tópico existente do Amazon SNS como receptor de alertas para o Amazon Managed Service for Prometheus ou criar um novo. Recomendamos que você use um tópico do tipo **Padrão** para poder encaminhar alertas do tópico para o e-mail, SMS ou HTTP. Para criar um novo tópico do Amazon SNS para utilizar como receptor do gerenciador de alertas, siga as etapas da [ Etapa 1: Criar um tópico](https://docs.aws.amazon.com/sns/latest/dg/sns-getting-started.html#step-create-queue). Certifique-se de escolher **Padrão** para o tipo de tópico. Se você quiser receber e-mails sempre que uma mensagem for enviada para esse tópico do Amazon SNS, siga as etapas da [ Etapa 2: Crie uma assinatura para o tópico](https://docs.aws.amazon.com/sns/latest/dg/sns-getting-started.html#step-send-message). Seja usando um tópico existente ou novo do Amazon SNS, você precisará do nome do recurso da Amazon (ARN) do seu tópico do Amazon SNS para concluir as tarefas a seguir. **Topics** + [Conceder ao Amazon Managed Service for Prometheus permissão para enviar mensagens ao seu tópico do Amazon SNS](AMP-alertmanager-receiver-AMPpermission.md) + [Configurar o gerenciador de alertas para enviar mensagens ao tópico do Amazon SNS](AMP-alertmanager-receiver-config.md) + [Configurar o gerenciador de alertas para que envie mensagens ao seu tópico do Amazon SNS como JSON](AMP-alertmanager-receiver-JSON.md) + [Configurar o Amazon SNS para que envie mensagens de alertas a outros destinos](AMP-alertmanager-SNS-otherdestinations.md) + [Noções básicas das regras de validação de mensagens do Amazon SNS](AMP-alertmanager-receiver-validation-truncation.md) # Conceder ao Amazon Managed Service for Prometheus permissão para enviar mensagens ao seu tópico do Amazon SNS Você deve conceder permissão ao Amazon Managed Service for Prometheus para enviar mensagens ao seu tópico do Amazon SNS. A instrução de política a seguir concederá essa permissão. Ela contém uma instrução `Condition` para ajudar a evitar um problema de segurança conhecido como problema do *substituto confuso*. A declaração `Condition` restringe o acesso ao tópico do Amazon SNS para permitir somente operações provenientes dessa conta específica e do espaço de trabalho do Amazon Managed Service for Prometheus. Para obter mais informações sobre o problema confused deputy, veja [Prevenção contra o ataque do “substituto confuso” em todos os serviços](#cross-service-confused-deputy-prevention). **Para dar permissão ao Amazon Managed Service for Prometheus para enviar mensagens para seu tópico do Amazon SNS** 1. [Abra o console do Amazon SNS em https://console.aws.amazon.com/sns/ v3/home.](https://console.aws.amazon.com/sns/v3/home) 1. No painel de navegação, escolha **Tópicos**. 1. Escolha o nome do tópico que você está usando com o Amazon Managed Service for Prometheus. 1. Escolha **Editar**. 1. Escolha **Política de acesso** e adicione a seguinte declaração de política à política existente. ``` { "Sid": "Allow_Publish_Alarms", "Effect": "Allow", "Principal": { "Service": "aps.amazonaws.com" }, "Action": [ "sns:Publish", "sns:GetTopicAttributes" ], "Condition": { "ArnEquals": { "aws:SourceArn": "workspace_ARN" }, "StringEquals": { "AWS:SourceAccount": "account_id" } }, "Resource": "arn:aws:sns:region:account_id:topic_name" } ``` [Opcional] Se o tópico do Amazon SNS estiver habilitado para a criptografia do lado do serviço (SSE), você precisa permitir que o Amazon Managed Service for Prometheus envie mensagens para esse tópico criptografado adicionando as `kms:Decrypt` permissões `kms:GenerateDataKey*` e à política de chaves da AWS KMS chave usada para criptografar o tópico. Por exemplo, você poderia adicionar isto à política: ``` { "Statement": [{ "Effect": "Allow", "Principal": { "Service": "aps.amazonaws.com" }, "Action": [ "kms:GenerateDataKey*", "kms:Decrypt" ], "Resource": "*" }] } ``` Para obter mais informações, consulte [AWS Permissões KMS para Tópico SNS](https://docs.aws.amazon.com/sns/latest/dg/sns-key-management.html#sns-what-permissions-for-sse). 1. Escolha **Salvar alterações**. **nota** Por padrão, o Amazon SNS cria a política de acesso com a condição em `AWS:SourceOwner`. Para mais informações, consulte a [política de acesso do SNS](https://docs.aws.amazon.com/sns/latest/dg/sns-access-policy-use-cases.html#source-account-versus-source-owner). **nota** O IAM segue a [ primeira regra mais restritiva da política](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html). Em seu tópico do SNS, se houver um bloco de política mais restritivo do que o bloco documentado na política do Amazon SNS, não será concedida a permissão na política do tópico. Para avaliar a sua política e saber quais as concessões, consulte a [Lógica de avaliação da política](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html). ## Configuração de tópicos do SNS para regiões opcionais Você pode usar `aps.amazonaws.com` para configurar um tópico do Amazon SNS da mesma forma Região da AWS que seu espaço de trabalho do Amazon Managed Service for Prometheus. Para usar um tópico do SNS de uma non-opt-in região (como us-east-1) com uma região opcional (como af-south-1), você precisa usar o formato principal do serviço regional. No princípio do serviço regional, *us-east-1* substitua pela non-opt-in região que você deseja usar:**aps.*us-east-1*.amazonaws.com**. A tabela a seguir lista as regiões opcionais e as entidades principais de serviço regional correspondentes: **Regiões opcionais e entidades principais de serviço regional** | Nome da região | Região | Entidade principal do serviço regional | | --- | --- | --- | | África (Cidade do Cabo) | af-south-1 | af-south-1.aps.amazonaws.com | | Ásia-Pacífico (Hong Kong) | ap-east-1 | ap-east-1.aps.amazonaws.com | | Ásia-Pacífico (Tailândia) | ap-southeast-7 | ap-southeast-7.aps.amazonaws.com | | Europa (Milão) | eu-south-1 | eu-south-1.aps.amazonaws.com | | Europa (Zurique) | eu-central-2 | eu-central-2.aps.amazonaws.com | | Oriente Médio (Emirados Árabes Unidos) | me-central-1 | me-central-1.aps.amazonaws.com | | Ásia-Pacífico (Malásia) | ap-southeast-5 | ap-southeast-5.aps.amazonaws.com | Para obter informações sobre como habilitar uma região opcional, consulte [Gerenciamento de Regiões da AWS](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-regions.html) no *Guia do usuário do IAM* em Referência geral da Amazon Web Services. Ao configurar seu tópico do Amazon SNS para essas regiões opcionais, certifique-se de usar a entidade principal de serviço regional correta para permitir a entrega de alertas entre regiões. ## Prevenção contra o ataque do “substituto confuso” em todos os serviços “Confused deputy” é um problema de segurança no qual uma entidade sem permissão para executar uma ação pode coagir uma entidade mais privilegiada a executá-la. Em AWS, a falsificação de identidade entre serviços pode resultar em um problema confuso de delegado. A personificação entre serviços pode ocorrer quando um serviço (o *serviço de chamada*) chama outro serviço (o *serviço chamado*). O serviço de chamada pode ser manipulado de modo a usar suas permissões para atuar nos recursos de outro cliente de uma forma na qual ele não deveria ter permissão para acessar. Para evitar isso, a AWS fornece ferramentas que ajudam você a proteger seus dados para todos os serviços com entidades principais de serviço que receberam acesso aos recursos em sua conta. Recomendamos o uso das chaves de contexto de condição global [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) e [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) nas políticas de recursos para restringir as permissões do recurso que o Amazon Managed Service for Prometheus Amazon concede ao Amazon SNS. Se você utilizar ambas as chaves de contexto de condição global, o valor `aws:SourceAccount` e a conta no valor `aws:SourceArn` deverão utilizar o mesmo ID de conta quando utilizados na mesma instrução de política. O valor de `aws:SourceArn` deve ser o ARN do espaço de trabalho do Amazon Managed Service for Prometheus. A maneira mais eficaz de se proteger do problema ‘confused deputy’ é usar a chave de contexto de condição global `aws:SourceArn` com o ARN completo do recurso. Se você não souber o ARN completo do recurso ou se especificar vários recursos, use a chave de condição de contexto global `aws:SourceArn` com curingas (`*`) para as partes desconhecidas do ARN. Por exemplo, .`arn:aws:servicename::123456789012:*` A política mostrada em [Conceder ao Amazon Managed Service for Prometheus permissão para enviar mensagens ao seu tópico do Amazon SNS](#AMP-alertmanager-receiver-AMPpermission) como usar as chaves de contexto de condição globais `aws:SourceArn` e `aws:SourceAccount` no Amazon Managed Service for Prometheus para evitar o problema confused deputy. # Configurar o gerenciador de alertas para enviar mensagens ao tópico do Amazon SNS Depois de ter um tópico (novo ou existente) do Amazon SNS do tipo **padrão**, você poderá adicioná-lo à sua configuração do gerenciador de alertas como receptor de alertas. O gerenciador de alertas pode encaminhar seus alertas para um receptor de alertas configurado. Para fazer isso, você precisa saber o nome do recurso da Amazon (ARN) do seu tópico do Amazon SNS. Para obter mais informações sobre a configuração do receptor Amazon SNS, consulte [](https://prometheus.io/docs/alerting/latest/configuration/#sns_configs) na documentação de configuração do Prometheus. **Propriedades não suportadas** O Amazon Managed Service for Prometheus oferece suporte ao Amazon SNS como receptor de alertas. No entanto, devido às restrições de serviço, nem todas as propriedades do receptor do Amazon SNS são suportadas. As seguintes propriedades não são permitidas em um arquivo de configuração do gerenciador de alertas do Amazon Managed Service for Prometheus: + `api_url:` – O Amazon Managed Service for Prometheus define `api_url` para você, portanto, essa propriedade não é permitida. + `Http_config` – Essa propriedade permite que você defina proxies externos. No momento, o Amazon Managed Service for Prometheus não é compatível com esse atributo. Além disso, é necessário que as configurações do SigV4 tenham uma propriedade de Região. Sem a propriedade Região, o Amazon Managed Service for Prometheus não tem informações suficientes para fazer a solicitação de autorização. **Como configurar o gerenciador de alertas com seu tópico do Amazon SNS como receptor** 1. Se você estiver usando um arquivo de configuração do gerenciador de alertas existente, abra-o em um editor de texto. 1. Se houver receptores presentes que não sejam o Amazon SNS no bloco `receivers`, remova-os. Você pode configurar vários tópicos do Amazon SNS para serem receptores colocando-os em blocos `sns_config` separados dentro do bloco `receivers`. 1. Adicione o seguinte bloco YAML na seção `receivers`. ``` - name: name_of_receiver sns_configs: - sigv4: region: Região da AWS topic_arn: ARN_of_SNS_topic subject: yoursubject attributes: key: yourkey value: yourvalue ``` Se não for especificado `subject`, por padrão, será gerado um assunto com o modelo padrão com o nome do rótulo e os valores, o que pode resultar em um valor muito longo para o SNS. Para alterar o modelo aplicado ao assunto, consulte [Configurar o gerenciador de alertas para que envie mensagens ao seu tópico do Amazon SNS como JSON](AMP-alertmanager-receiver-JSON.md) neste guia. Agora você deve fazer upload do seu arquivo de configuração do gerenciador de alertas no Amazon Managed Service for Prometheus. Para obter mais informações, consulte [Carregar seu arquivo de configuração do gerenciador de alertas no Amazon Managed Service for Prometheus](AMP-alertmanager-upload.md). # Configurar o gerenciador de alertas para que envie mensagens ao seu tópico do Amazon SNS como JSON Por padrão, o gerenciador de alertas do Amazon Managed Service for Prometheus gera mensagens em um formato de lista com texto sem formatação. Isso pode tornar mais difícil a análise por outros serviços. Em vez disso, você pode configurar o gerenciador de alertas para que envie alertas no formato JSON. O JSON pode simplificar o processamento das mensagens a jusante do Amazon SNS em ou em AWS Lambda endpoints de recebimento de webhooks. Em vez de usar o modelo padrão, você pode definir um modelo personalizado para gerar o conteúdo da mensagem em JSON, facilitando a análise em funções posteriores. Para enviar mensagens do gerenciador de alertas para o Amazon SNS no formato JSON, atualize a configuração do gerenciador de alertas para conter o seguinte código na seu seção raiz `template_files`: ``` default_template: | {{ define "sns.default.message" }}{{ "{" }}"receiver": "{{ .Receiver }}","status": "{{ .Status }}","alerts": [{{ range $alertIndex, $alerts := .Alerts }}{{ if $alertIndex }}, {{ end }}{{ "{" }}"status": "{{ $alerts.Status }}"{{ if gt (len $alerts.Labels.SortedPairs) 0 -}},"labels": {{ "{" }}{{ range $index, $label := $alerts.Labels.SortedPairs }}{{ if $index }}, {{ end }}"{{ $label.Name }}": "{{ $label.Value }}"{{ end }}{{ "}" }}{{- end }}{{ if gt (len $alerts.Annotations.SortedPairs ) 0 -}},"annotations": {{ "{" }}{{ range $index, $annotations := $alerts.Annotations.SortedPairs }}{{ if $index }}, {{ end }}"{{ $annotations.Name }}": "{{ $annotations.Value }}"{{ end }}{{ "}" }}{{- end }},"startsAt": "{{ $alerts.StartsAt }}","endsAt": "{{ $alerts.EndsAt }}","generatorURL": "{{ $alerts.GeneratorURL }}","fingerprint": "{{ $alerts.Fingerprint }}"{{ "}" }}{{ end }}]{{ if gt (len .GroupLabels) 0 -}},"groupLabels": {{ "{" }}{{ range $index, $groupLabels := .GroupLabels.SortedPairs }}{{ if $index }}, {{ end }}"{{ $groupLabels.Name }}": "{{ $groupLabels.Value }}"{{ end }}{{ "}" }}{{- end }}{{ if gt (len .CommonLabels) 0 -}},"commonLabels": {{ "{" }}{{ range $index, $commonLabels := .CommonLabels.SortedPairs }}{{ if $index }}, {{ end }}"{{ $commonLabels.Name }}": "{{ $commonLabels.Value }}"{{ end }}{{ "}" }}{{- end }}{{ if gt (len .CommonAnnotations) 0 -}},"commonAnnotations": {{ "{" }}{{ range $index, $commonAnnotations := .CommonAnnotations.SortedPairs }}{{ if $index }}, {{ end }}"{{ $commonAnnotations.Name }}": "{{ $commonAnnotations.Value }}"{{ end }}{{ "}" }}{{- end }}{{ "}" }}{{ end }} {{ define "sns.default.subject" }}[{{ .Status | toUpper }}{{ if eq .Status "firing" }}:{{ .Alerts.Firing | len }}{{ end }}]{{ end }} ``` **nota** Esse modelo cria JSON a partir de dados alfanuméricos. Se seus dados tiverem caracteres especiais, codifique-os antes de usar esse modelo. Para garantir que esse modelo seja usado nas notificações enviadas, faça referência a ele em seu bloco `alertmanager_config` da seguinte forma: ``` alertmanager_config: | global: templates: - 'default_template' ``` **nota** Esse modelo é para o corpo inteiro da mensagem como o da mensagem JSON. Esse modelo substitui o corpo inteiro da mensagem. Você não pode substituir o corpo da mensagem se quiser usar esse modelo específico. Todas as substituições feitas manualmente terão precedência sobre o modelo. Para obter mais informações sobre: + O arquivo de configuração do gerenciador de alertas, consulte [Criar uma configuração do gerenciador de alertas no Amazon Managed Service for Prometheus para gerenciar e encaminhar alertas](AMP-alertmanager-config.md). + Como fazer o upload do seu arquivo de configuração, consulte [Carregar seu arquivo de configuração do gerenciador de alertas no Amazon Managed Service for Prometheus](AMP-alertmanager-upload.md). # Configurar o Amazon SNS para que envie mensagens de alertas a outros destinos O Amazon Managed Service for Prometheus só pode enviar mensagens de alertas ao Amazon Simple Notification Service (Amazon SNS). Para enviar essas mensagens para outros destinos, como e-mail, webhook, Slack ou OpsGenie, você deve configurar o Amazon SNS para encaminhar as mensagens para esses endpoints. As próximas seções descrevem como configurar o Amazon SNS para que encaminhe alertas para outros destinos. **Topics** + [E-mail](#AMP-alertmanager-SNS-otherdestinations-email) + [Webhook](#AMP-alertmanager-SNS-otherdestinations-webhook) + [Slack](#AMP-alertmanager-SNS-otherdestinations-Slack) + [OpsGenie](#AMP-alertmanager-SNS-otherdestinations-OpsGenie) ## E-mail Para configurar um tópico do Amazon SNS para enviar mensagens para e-mail, crie uma assinatura. No console do Amazon SNS, escolha a guia **Assinaturas** para abrir a página da lista de **Assinaturas**. Escolha **Criar assinatura** e selecione **E-mail**. O Amazon SNS envia um e-mail de confirmação ao endereço de e-mail listado. Depois de aceitar a confirmação, você poderá receber notificações do Amazon SNS, como e-mails do tópico em que você se inscreveu. Para obter mais informações, consulte [Assinatura de um tópico do Amazon SNS](https://docs.aws.amazon.com/sns/latest/dg/sns-create-subscribe-endpoint-to-topic.html). ## Webhook Para configurar um tópico do Amazon SNS para enviar mensagens para um endpoint de webhook, crie uma assinatura. No console do Amazon SNS, escolha a guia **Assinaturas** para abrir a página da lista de **Assinaturas**. Escolha **Criar assinatura** e selecione **HTTP/HTTPS**. Depois de criar a assinatura, você deve seguir as etapas de confirmação para ativá-la. Quando estiver ativo, seu endpoint HTTP deve receber as notificações do Amazon SNS. Para obter mais informações, consulte [Assinatura de um tópico do Amazon SNS](https://docs.aws.amazon.com/sns/latest/dg/sns-create-subscribe-endpoint-to-topic.html). Para obter mais informações, consulte [Como uso webhooks para publicar mensagens do Amazon SNS no Amazon Chime, Slack ou Microsoft Teams?](https://aws.amazon.com/premiumsupport/knowledge-center/sns-lambda-webhooks-chime-slack-teams/) ## Slack Para configurar um tópico do Amazon SNS para enviar mensagens para o Slack, você tem duas opções. Você pode fazer a integração com a email-to-channel integração do Slack, que permite que o Slack aceite mensagens de e-mail e as encaminhe para um canal do Slack, ou você pode usar uma função Lambda para reescrever a notificação do Amazon SNS para o Slack. Para obter mais informações sobre o encaminhamento de e-mails para os canais do Slack, consulte [Confirmação da assinatura do AWS SNS Topic para o Slack](https://stackoverflow.com/questions/49341187/confirming-aws-sns-topic-subscription-for-slack-webhook) Webhook. Para obter mais informações sobre a criação de uma função do Lambda para converter mensagens do Amazon SNS em Slack, consulte [Como integrar o Amazon Managed Service for Prometheus com o Slack](https://aws.amazon.com/blogs/mt/how-to-integrate-amazon-managed-service-for-prometheus-with-slack/). ## OpsGenie Para obter informações sobre como configurar um tópico do Amazon SNS para enviar mensagens OpsGenie, consulte [Integrar o Opsgenie com o Amazon SNS de entrada](https://support.atlassian.com/opsgenie/docs/integrate-opsgenie-with-incoming-amazon-sns/). # Noções básicas das regras de validação de mensagens do Amazon SNS O Amazon Simple Notification Service (Amazon SNS) exige que as mensagens atendam a determinados padrões. As mensagens que não atendem a esses padrões serão modificadas quando forem recebidas. Se necessário, as mensagens de alertas serão validadas, truncadas ou modificadas pelo receptor do Amazon SNS com base nas seguintes regras: + A mensagem contém caracteres não utf. + A mensagem será substituída por **Error - not a valid UTF-8 encoded string**. + Um atributo de mensagem será adicionado com a chave **truncated** e o valor **true**. + Um atributo de mensagem será adicionado com a chave de item **modified** e o valor de **Message: Error - not a valid UTF-8 encoded string**. + A mensagem está vazia. + A mensagem será substituída por **Error - Message should not be empty**. + Um atributo de mensagem será adicionado com a chave de item **modified** e o valor de **Message: Error - Message should not be empty**. + A mensagem foi truncada. + A mensagem terá o conteúdo truncado. + Um atributo de mensagem será adicionado com a chave **truncated** e o valor **true**. + Um atributo de mensagem será adicionado com a chave de “modificado” e o valor de **Mensagem: Erro - A mensagem foi truncada de *X* KB, porque excede o limite de tamanho de 256 KB**. + O assunto contém caracteres de controle ou não ASCII. + Se o assunto tiver caracteres de controle ou caracteres não ASCII, o SNS substituirá o assunto por **Error - contains control- or non-ASCII characters**. + Para assuntos de e-mail do SNS, remova os caracteres de controle, como novas linhas: `\n`. + O assunto não é ASCII. + O assunto será substituído por **Error - contains non printable ASCII characters**. + Um atributo de mensagem será adicionado com a chave de item **modified** e o valor de **Subject: Error - contains non-printable ASCII characters**. + O assunto foi truncado. + O assunto terá o conteúdo truncado. + Um atributo de mensagem será adicionado com a chave de **modificado** e o valor de **Assunto: Erro - O assunto foi truncado de *X* caracteres, pois excede o limite de tamanho de 100 caracteres**. + O atributo da mensagem tem chave/valor inválido. + O atributo de mensagem inválido será removido. + Um atributo de mensagem será adicionado com a chave de **modificado** e o valor de **MessageAttribute: Erro - se os atributos *X* da mensagem foram removidos por causa de MessageAttributeKey ou MessageAttributeValue inválido**. + O atributo da mensagem foi truncado. + Os atributos extras da mensagem serão removidos. + Um atributo de mensagem será adicionado com a chave de **modificada** e o valor de **MessageAttribute: Erro - se os atributos *X* da mensagem tiverem sido removidos, pois excede o limite de tamanho de 256 KB**.