設定承載字符身分驗證

使用主控台設定 HTTP 端點存取

1. 登入 AWS 管理主控台。

2. 導覽至 CloudWatch > 設定 > 日誌。

3. 在 API 金鑰區段中，選擇產生 API 金鑰。

4. 對於 API 金鑰過期，請執行下列其中一項操作：

   • 選取 1、5、30、90 或 365 天的 API 金鑰過期持續時間。

   • 選擇自訂持續時間以指定自訂 API 金鑰過期日期。

   • 選取永不過期 （不建議）。

5. 選擇產生 API 金鑰。

   主控台會自動：

   • 建立具有適當許可的新 IAM 使用者

   • 連接 CloudWatchLogsAPIKeyAccess 受管政策 （包含 logs:PutLogEvents和 logs:CallWithBearerToken許可）

   • 產生服務特定的登入資料 (API 金鑰）

6. 複製並安全地儲存顯示的登入資料：

   • API 金鑰 ID （服務特定的登入資料 ID)

   • API 金鑰秘密 （承載字符）

   重要

   立即儲存 API 金鑰秘密。它稍後無法擷取。如果遺失，您將需要產生新的 API 金鑰。

7. 建立將存放日誌的日誌群組和日誌串流：

   # Create the log group
   aws logs create-log-group \
       --log-group-name /aws/hlc-logs/my-application \
       --region us-east-1
   
   # Create the log stream
   aws logs create-log-stream \
       --log-group-name /aws/hlc-logs/my-application \
       --log-stream-name application-stream-001 \
       --region us-east-1

8. 在日誌群組上啟用承載字符身分驗證：

   aws logs put-bearer-token-authentication \
       --log-group-identifier /aws/hlc-logs/my-application \
       --bearer-token-authentication-enabled \
       --region us-east-1

   驗證組態：

   aws logs describe-log-groups \
       --log-group-name-prefix /aws/hlc-logs/my-application \
       --region us-east-1

1. 登入 AWS 管理主控台並導覽至 IAM。

2. 在左側導覽窗格中，選擇 Users (使用者)。

3. 選擇 Create user (建立使用者)。

4. 輸入使用者名稱 （例如 cloudwatch-logs-hlc-user)。

5. 選擇下一步。

6. 連接下列其中一個 IAM 政策：

   選項 A：使用 受管政策 （建議）

   連接 CloudWatchLogsAPIKeyAccess 受管政策。

   選項 B：建立自訂政策

   建立並連接下列 IAM 政策：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "LogsAPIs",
               "Effect": "Allow",
               "Action": [
                   "logs:CallWithBearerToken",
                   "logs:PutLogEvents"
               ],
               "Resource": "*"
           },
           {
               "Sid": "KMSAPIs",
               "Effect": "Allow",
               "Action": [
                   "kms:Describe*",
                   "kms:GenerateDataKey*",
                   "kms:Decrypt"
               ],
               "Condition": {
                   "StringEquals": {
                       "kms:ViaService": [
                           "logs.*.amazonaws.com"
                       ]
                   }
               },
               "Resource": "arn:aws:kms:*:*:key/*"
           }
       ]
   }

7. 選擇下一步，然後選擇建立使用者。

1. 為 IAM 使用者建立新的 （次要） 登入資料：

   aws iam create-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-name logs.amazonaws.com \
       --credential-age-days 90

2. （選用） 將新登入資料存放在 中， AWS Secrets Manager 以安全擷取和自動輪換。

3. 將新登入資料匯入廠商的入口網站，或更新您的應用程式組態以使用新的 API 金鑰。

4. 將原始登入資料設定為非作用中：

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

5. 在 CloudWatch IncomingBytes 中監控日誌群組的指標，確認日誌交付未受到影響。如需詳細資訊，請參閱使用 CloudWatch 指標監控使用量。

6. 使用新金鑰確認成功交付後，請刪除先前的登入資料：

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

1. 立即停用金鑰以防止進一步未經授權的使用：

   aws iam update-service-specific-credential \
       --user-name cloudwatch-logs-hlc-user \
       --service-specific-credential-id ACCA1234EXAMPLE1234 \
       --status Inactive

2. 檢閱 CloudTrail 日誌以判斷未經授權的存取範圍。如需如何啟用 API 金鑰用量的稽核使用 CloudTrail 記錄 API 金鑰用量，請參閱 。

3. 依照中所述的輪換程序建立替換金鑰輪換程序。

4. 取代完成後刪除遭入侵的金鑰：

   aws iam delete-service-specific-credential \
       --service-specific-credential-id ACCA1234EXAMPLE1234

5. 如果您需要在調查時立即封鎖 IAM 使用者的所有承載字符存取，請連接拒絕政策：

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Deny",
           "Action": "logs:CallWithBearerToken",
           "Resource": "*"
       }
   }

1. 建立線索：

   aws cloudtrail create-trail \
       --name cloudwatch-logs-api-key-audit \
       --s3-bucket-name my-cloudtrail-bucket \
       --region us-east-1

2. 設定進階事件選取器以擷取 CloudWatch Logs 日誌群組授權事件：

   aws cloudtrail put-event-selectors \
       --region us-east-1 \
       --trail-name cloudwatch-logs-api-key-audit \
       --advanced-event-selectors '[{
           "Name": "CloudWatch Logs API key authorization events",
           "FieldSelectors": [
               { "Field": "eventCategory", "Equals": ["Data"] },
               { "Field": "resources.type", "Equals": ["AWS::Logs::LogGroupAuthorization"] }
           ]
       }]'

3. 開始追蹤記錄：

   aws cloudtrail start-logging \
       --name cloudwatch-logs-api-key-audit \
       --region us-east-1