设置不记名令牌身份验证

使用控制台设置 HTTP 端点访问权限

1. 登录到 AWS 管理控制台。

2. 导航至 CloudWatch> 设置 > 日志。

3. 在 API 密钥部分中，选择生成 API 密钥。

4. 对于 API 密钥过期时间，请执行以下操作之一：

   • 将 API 密钥的过期时间选择为 1、5、30、90 或 365 天。

   • 选择自定义持续时间以指定自定义 API 密钥到期日期。

   • 选择永不过期（不推荐）。

5. 选择生成 API 密钥。

   控制台自动：

   • 创建具有适当权限的新 IAM 用户

   • 附加CloudWatchLogsAPIKey访问管理策略（包括logs:PutLogEvents和logs:CallWithBearerToken权限）

   • 生成特定于服务的凭证（API 密钥）

6. 复制并安全保存显示的凭据：

   • API 密钥 ID（特定于服务的凭证 ID）

   • API 密钥密钥（持有者令牌）

   重要

   立即保存 API 密钥密钥。之后无法检索。如果您丢失了密钥，则需要生成一个新的 API 密钥。

7. 创建用于存储日志的日志组和日志流：

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. 在日志组上启用不记名令牌身份验证：

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   验证配置：

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. 登录 AWS 管理控制台并导航到 IAM。

2. 在左侧导航窗格中，选择 用户。

3. 选择创建用户。

4. 输入用户名（例如，cloudwatch-logs-hlc-user）。

5. 选择下一步。

6. 附上以下 IAM 策略之一：

   选项 A：使用托管策略（推荐）

   附加CloudWatchLogsAPIKey访问管理策略。

   选项 B：创建自定义策略

   创建并附加以下 IAM 策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. 选择 “下一步”，然后选择 “创建用户”。

1. 为 IAM 用户创建新（辅助）凭证：

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. （可选）存储新凭证， AWS Secrets Manager 以便安全检索和自动轮换。

3. 将新证书导入供应商门户或更新您的应用程序配置以使用新的 API 密钥。

4. 将原始凭证设置为非活动状态：

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. 监控中日志组的IncomingBytes指标，确认日志传输不会受到影响 CloudWatch。有关更多信息，请参阅使用 CloudWatch 指标进行监控。

6. 使用新密钥确认成功交付后，删除之前的凭证：

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. 立即停用密钥以防止进一步未经授权的使用：

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. 查看 CloudTrail 日志以确定未经授权访问的范围。使用记录 API 密钥的使用情况 CloudTrail有关如何启用 API 密钥使用情况审计，请参阅。

3. 按照中所述@@ 的轮换过程创建替换密钥轮换过程。

4. 替换完毕后，请删除泄露的密钥：

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. 如果您@@ 在调查时需要立即阻止 IAM 用户的所有持有者令牌访问权限，请附上拒绝策略：

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. 创建跟踪：

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. 配置高级事件选择器以捕获 CloudWatch 日志日志组授权事件：

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. 开始跟踪记录：

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1