为指标设置持有者令牌身份验证

在使用持有者令牌身份验证通过 CloudWatch OTLP 端点发送指标之前，您需要：

选项 1：使用 AWS 控制台快速入门

AWS 管理控制台提供了用于生成 OTLP 端点访问 API 密钥的简化工作流。

控制台会自动：

选项 2：手动设置

如果您希望更好地控制 IAM 配置或需要自定义权限，可以手动设置 OTLP 端点访问权限。

步骤 1：创建一个 IAM 用户

创建用于指标摄取的 IAM 用户：

步骤 2：生成服务特定凭证（API 密钥）

使用 CreateServiceSpecificCredential API 生成 CloudWatch 指标 API 密钥。您也可以使用 create-service-specific-credential AWS CLI 命令。对于凭证期限，可以指定 1–36600 天之间的值。如果不指定凭证期限，API 密钥将不会过期。

要生成有效期为 30 天的 API 密钥，请执行下面的操作：

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

响应是一个 ServiceSpecificCredential 对象。ServiceCredentialSecret 值就是 CloudWatch 指标 API 密钥（持有者令牌）。

步骤 3：发送指标

您可以使用持有者令牌立即向 OTLP 端点发送指标：

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

该端点同时接受 application/json 和 application/x-protobuf 内容类型。

控制生成和使用 CloudWatch 指标 API 密钥的权限

控制 CloudWatch 指标 API 密钥的生成

iam:CreateServiceSpecificCredential 操作可控制服务特定密钥（例如 CloudWatch 指标 API 密钥）的生成。您可以将此操作作为一种资源，将操作范围限定为 IAM 用户，以便限制可以为其生成密钥的用户。

您可以使用以下条件密钥对 iam:CreateServiceSpecificCredential 操作的权限施加条件：

控制 CloudWatch 指标 API 密钥的使用

cloudwatch:CallWithBearerToken 操作可控制 CloudWatch 指标 API 密钥的使用。为防止某个身份使用 CloudWatch 指标 API 密钥，请向与该密钥关联的 IAM 用户附加拒绝 cloudwatch:CallWithBearerToken 操作的策略。

策略示例

阻止身份生成和使用 CloudWatch 指标 API 密钥：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

阻止身份使用 CloudWatch 指标 API 密钥：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

仅当 CloudWatch 指标密钥在 90 天内过期时，才允许创建：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

在 OpenTelemetry Collector 中使用持有者令牌

使用持有者令牌时，不需要 sigv4auth 扩展。请使用 bearertokenauth 扩展，通过文件或环境变量安全提供 API 密钥：

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

或者，您可以引用环境变量而不是文件：

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

轮换 API 密钥

定期轮换 API 密钥可降低未授权访问的风险。建议您制定与贵组织安全策略相符的轮换计划。

轮换过程

要在不中断指标传输的情况下轮换 API 密钥，请按照以下步骤操作：

监控密钥过期

要检查现有 API 密钥的创建日期和状态，请使用 list-service-specific-credentials c命令：

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

响应包含每个凭证的 CreateDate 和 Status。使用这些信息来识别即将过期或保持活动状态的时间超过轮换策略允许范围的密钥。

响应遭到泄露的 API 密钥

如果您怀疑 API 密钥遭到泄露，请立即采取以下步骤：

您还可以使用以下 IAM API 操作来管理遭到泄露的密钥：

API 密钥的安全最佳实践

遵循以下最佳实践来保护 CloudWatch 指标 API 密钥：

使用 CloudTrail 记录 API 密钥使用情况

您可以使用 AWS CloudTrail 记录数据事件，以便摄取 CloudWatch 指标 OTLP。CloudWatch 会针对对 OTLP 端点的调用发出 AWS::CloudWatch::Metric 数据事件，使您能够审计指标摄取活动，包括 API 密钥使用情况。

readOnly: false 筛选条件将日志记录限制为写入操作（PutMetricData），其中包括所有 OTLP 摄取调用。要在这些事件中识别持有者令牌使用情况，请查询跟踪日志（通过 Athena 或 CloudTrail Lake），并按与 API 密钥关联的 IAM 用户名（例如 cloudwatch-metrics-api-key-user）进行筛选。OTLP 摄取事件在其事件有效载荷中包含 AdditionalEventData.protocol，其值为 OTLP。您可以在事后查询中使用它，以将其与经典的 PutMetricData SDK 调用区分开来。