本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定指標的承載字符身分驗證

在透過 CloudWatch OTLP 端點使用承載字符身分驗證來傳送指標之前，您需要：

選項 1：使用 AWS 主控台快速開始使用

AWS 管理主控台提供簡化的工作流程，以產生 OTLP 端點存取的 API 金鑰。

主控台會自動：

選項 2：手動設定

如果您偏好對 IAM 組態進行更多控制，或需要自訂許可，您可以手動設定 OTLP 端點存取。

步驟 1：建立 IAM 使用者

建立用於指標擷取的 IAM 使用者：

步驟 2：產生服務特定的登入資料 (API 金鑰）

使用 CreateServiceSpecificCredential API 產生 CloudWatch Metrics API 金鑰。您也可以使用 create-service-specific-credential AWS CLI 命令。對於憑證存留期，您可以指定介於 1–36600 天之間的值。如果您未指定登入資料存留期，API 金鑰不會過期。

若要產生過期 30 天的 API 金鑰：

aws iam create-service-specific-credential \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

回應是 ServiceSpecificCredential 物件。ServiceCredentialSecret 值是您的 CloudWatch Metrics API 金鑰 （承載字符）。

步驟 3：傳送指標

您可以使用承載字符，立即將指標傳送至 OTLP 端點：

curl -X POST "https://monitoring.us-east-1.amazonaws.com/v1/metrics" \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer YOUR_API_KEY" \
     -d '{"resourceMetrics":[]}'

端點接受 application/json和 application/x-protobuf內容類型。

控制產生和使用 CloudWatch Metrics API 金鑰的許可

控制 CloudWatch Metrics API 金鑰的產生

iam:CreateServiceSpecificCredential 動作控制產生服務特定的金鑰 （例如 CloudWatch Metrics API 金鑰）。您可以將此動作的範圍限定為 IAM 使用者，以此限制可以為其產生金鑰的使用者。

您可以使用下列條件索引鍵，對 iam:CreateServiceSpecificCredential 動作的許可施加條件：

控制 CloudWatch Metrics API 金鑰的使用

cloudwatch:CallWithBearerToken 動作控制 CloudWatch Metrics API 金鑰的使用。若要防止身分使用 CloudWatch Metrics API 金鑰，請將拒絕cloudwatch:CallWithBearerToken動作的政策連接至與金鑰相關聯的 IAM 使用者。

政策範例

防止身分產生和使用 CloudWatch Metrics API 金鑰：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCWMetricsAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "cloudwatch:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

防止身分使用 CloudWatch Metrics API 金鑰：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudwatch:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

只有在 CloudWatch Metrics 金鑰在 90 天內過期時，才允許建立金鑰：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "cloudwatch.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

搭配 OpenTelemetry Collector 使用承載字符

使用承載字符時，您不需要 sigv4auth延伸。使用 bearertokenauth 擴充功能，從檔案或環境變數安全地提供您的 API 金鑰：

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: https://monitoring.us-east-1.amazonaws.com/v1/metrics
    auth:
      authenticator: bearertokenauth

receivers:
  otlp:
    protocols:
      http:
        endpoint: 0.0.0.0:4318

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

或者，您可以參考環境變數而非檔案：

extensions:
  bearertokenauth:
    token: "${env:CW_API_KEY}"

輪換 API 金鑰

定期輪換 API 金鑰可降低未經授權的存取風險。我們建議您建立符合您組織安全政策的輪換排程。

輪換程序

若要在不中斷指標交付的情況下輪換 API 金鑰，請遵循下列程序：

監控金鑰過期

若要檢查現有 API 金鑰的建立日期和狀態，請使用 list-service-specific-credentials 命令：

aws iam list-service-specific-credentials \
    --user-name cloudwatch-metrics-api-key-user \
    --service-name cloudwatch.amazonaws.com

回應包含每個登入Status資料的 CreateDate和 。使用此資訊來識別即將過期或已處於作用中狀態超過輪換政策允許的金鑰。

回應遭入侵的 API 金鑰

如果您懷疑 API 金鑰已洩露，請立即採取下列步驟：

您也可以使用下列 IAM API 操作來管理遭到入侵的金鑰：

API 金鑰的安全最佳實務

請遵循以下最佳實務來保護您的 CloudWatch Metrics API 金鑰：

使用 CloudTrail 記錄 API 金鑰用量

您可以使用 AWS CloudTrail 記錄 CloudWatch Metrics OTLP 擷取的資料事件。CloudWatch 會針對對 OTLP 端點的呼叫發出AWS::CloudWatch::Metric資料事件，讓您稽核指標擷取活動，包括 API 金鑰用量。

readOnly: false 篩選條件會限制記錄寫入操作 (PutMetricData)，其中包括所有 OTLP 擷取呼叫。若要識別這些事件中的承載字符用量，請查詢您的追蹤日誌 （透過 Athena 或 CloudTrail Lake)，並根據與您的 API 金鑰相關聯的 IAM 使用者名稱進行篩選 （例如 cloudwatch-metrics-api-key-user)。來自 OTLP 擷取的事件包括在事件承載OTLP中AdditionalEventData.protocol設定為 ，您可以在事後查詢中使用，以區分它們與傳統 PutMetricData SDK 呼叫。