本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 使用 Amazon CloudWatch 監控 KMS 金鑰
<a name="monitoring-cloudwatch"></a>

您可以使用 AWS KMS keys [Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/) 來監控您的 ，Amazon CloudWatch 是一種 AWS 服務，可收集原始資料並將其處理 AWS KMS 為可讀且近乎即時的指標。這些資料會保留 2 週，因此您可以存取歷史資訊，更加了解您 KMS 金鑰的使用情形及其隨時間的變更。

您可以使用 Amazon CloudWatch 對您的重要事件發出提醒，例如下列事件。
+ KMS 金鑰中匯入的金鑰材料接近其過期日期。
+ 仍然會使用等待刪除的 KMS 金鑰。
+ KMS 金鑰中的金鑰材料會自動輪換。
+ 已刪除 KMS 金鑰。

您也可以建立 [Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/DeveloperGuide/) 警示，在您的請求率達到配額值的特定百分比時發出提醒。如需詳細資訊，請參閱 *AWS 安全部落格*中的[使用 Service Quotas 和 Amazon CloudWatch 管理您的 AWS KMS API 請求率](https://aws.amazon.com/blogs/security/manage-your-aws-kms-api-request-rates-using-service-quotas-and-amazon-cloudwatch/)。

## AWS KMS 指標和維度
<a name="kms-metrics"></a>

AWS KMS 預先定義 Amazon CloudWatch 指標，讓您更輕鬆地監控關鍵資料並建立警示。您可以使用 AWS 管理主控台 和 Amazon CloudWatch API 檢視 AWS KMS 指標。

本節列出每個 AWS KMS 指標和每個指標的維度，並提供一些根據這些指標和維度建立 CloudWatch 警示的基本指導。

**注意**  
**維度群組名稱**：  
若要在 Amazon CloudWatch 主控台中檢視指標，請在 **Metrics** (指標) 區段中選取維度群組名稱。然後，您可以按 **Metric name** (指標名稱) 進行篩選。本主題包括每個 AWS KMS 指標的指標名稱和維度群組名稱。

您可以使用 AWS 管理主控台 和 Amazon CloudWatch API 檢視 AWS KMS 指標。如需詳細資訊，請參閱《*Amazon CloudWatch 使用者指南*》中的[檢視可用的指標](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/viewing_metrics_with_cloudwatch.html)。

**Topics**
+ [SuccessfulRequest](#key-level-api-usage-metric)
+ [SecondsUntilKeyMaterialExpiration](#key-material-expiration-metric)
+ [CloudHSMKeyStoreThrottle](#metric-throttling-cloudhsm)
+ [ExternalKeyStoreThrottle](#metric-throttling)
+ [XksProxyCertificateDaysToExpire](#metric-xks-proxy-certificate-days-to-expire)
+ [XksProxyCredentialAge](#metric-xks-proxy-credential-age)
+ [XksProxyErrors](#metric-xks-proxy-errors)
+ [XksExternalKeyManagerStates](#metric-xks-ekm-states)
+ [XksProxyLatency](#metric-xks-proxy-latency)

### SuccessfulRequest
<a name="key-level-api-usage-metric"></a>

在特定 KMS 金鑰上成功請求密碼編譯操作的次數。透過使用 `SuccessfulRequest` 指標，您可以將金鑰層級篩選套用至 CloudWatch 中的 AWS KMS API 用量。此指標的`Sum`統計資料會定義期間內成功請求的總數。

使用此指標來識別哪些 KMS 金鑰消耗請求配額的最大部分，或對 API 費用的貢獻最大。您也可以根據 `SuccesfulRequest` 指標建立 CloudWatch 警示，以通知您異常 AWS KMS 的 API 使用模式。這些提醒有助於識別效率不佳的工作流程，這些工作流程可能會意外超過您的請求配額或產生非預期的費用。

**的維度 `SuccessfulRequest`**


| 維度 | Description | 
| --- | --- | 
| KeyArn | 每個 KMS 金鑰的值。 | 
| 作業 | 每個 AWS KMS API 操作的值。此指標僅適用於密碼編譯操作。 | 

對於 [ReEncrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_ReEncrypt.html) 操作， `SuccessfulRequest` 指標包含來源和目的地 KMS 金鑰的維度。


| 維度 | Description | 
| --- | --- | 
| SourceKeyArn | 解密加密文字的 KMS 金鑰值。 | 
| DestinationKeyArn | 重新加密資料的 KMS 金鑰值。 | 
| 作業 | 每個 AWS KMS API 操作的值，在此案例中為 ReEncrypt。 | 

### SecondsUntilKeyMaterialExpiration
<a name="key-material-expiration-metric"></a>

在 KMS [金鑰中最早過期的匯入金鑰材料](importing-keys.md)之前剩餘的秒數。此指標僅對具有匯入金鑰材料 (`EXTERNAL` 的[金鑰材料來源](create-keys.md#key-origin)) 和到期日的 KMS 金鑰有效。

使用此指標來追蹤在您最早過期的匯入金鑰材料過期之前剩餘的時間。當該時間低於您定義的閾值時，您應該重新匯入具有新過期日期的金鑰材料，以保持 KMS 金鑰可用。該 `SecondsUntilKeyMaterialExpiration` 指標專用於 KMS 金鑰。您無法使用此指標來監控多個 KMS 金鑰或您可能在將來建立的 KMS 金鑰。如需建立 CloudWatch 警示以監控此指標的說明，請參閱 [為匯入金鑰材料過期建立 CloudWatch 警示](imported-key-material-expiration-alarm.md)。

此指標最實用的統計數字是 `Minimum`，其會告訴您指定統計週期內所有資料點之剩餘時間的最小數量。此指標的唯一有效單位是 `Seconds`。

**維度群組名稱**：**Per-Key Metrics** (每個金鑰指標)


**`SecondsUntilKeyMaterialExpiration` 的維度**  

| 維度 | 描述；與 相關 AWS | 
| --- | --- | 
| KeyId | 每個 KMS 金鑰的值。 | 

當您[排程刪除](deleting-keys.md) KMS 金鑰時， AWS KMS 會在刪除 KMS 金鑰之前強制執行等待期間。您可以利用等待期間來確保您現在或未來都不需要該 KMS 金鑰。您也可以設定 CloudWatch 警示來警告您有人或應用程式在等待期間嘗試在[密碼編譯操作](kms-cryptography.md#cryptographic-operations)中使用 KMS 金鑰。如果您收到這類警示的通知，您可能需要取消刪除 KMS 金鑰。

如需說明，請參閱[建立偵測 KMS 金鑰待刪除使用情況的警示](deleting-keys-creating-cloudwatch-alarm.md)。

### CloudHSMKeyStoreThrottle
<a name="metric-throttling-cloudhsm"></a>

 AWS KMS 調節 （回應 ) 的每個金鑰存放區中 KMS AWS CloudHSM 金鑰的密碼編譯操作請求數量`ThrottlingException`。此指標僅適用於 AWS CloudHSM 金鑰存放區。

`CloudHSMKeyStoreThrottle` 指標僅適用於金鑰存放區中的 AWS CloudHSM KMS 金鑰，也僅適用於[密碼編譯操作](kms-cryptography.md#cryptographic-operations)的請求。當請求速率超過 AWS CloudHSM 金鑰存放區的[自訂金鑰存放區請求配額](requests-per-second.md#rps-key-stores)時， AWS KMS [會調節這些](throttling.md)請求。此指標也包含 AWS CloudHSM 叢集的限流。

**維度群組名稱**：**Keystore Throttle Metrics** (金鑰存放區限流指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個 AWS CloudHSM 金鑰存放區的值。 | 
| KmsOperation | 每個 AWS KMS API 操作的值。此指標僅適用於金鑰存放區中 KMS AWS CloudHSM 金鑰的密碼編譯操作。 | 
| KeySpec | 每個 KMS 金鑰類型的值。金鑰存放區中 KMS 金鑰唯一支援的 AWS CloudHSM [金鑰規格](create-keys.md#key-spec)是 SYMMETRIC\_DEFAULT。 | 

### ExternalKeyStoreThrottle
<a name="metric-throttling"></a>

 AWS KMS 調節的每個外部金鑰存放區中 KMS 金鑰的密碼編譯操作請求數量 （回應 `ThrottlingException`)。此指標只適用於[外部金鑰存放區](keystore-external.md)。

`ExternalKeyStoreThrottle` 指標僅適用於外部金鑰存放區中的 KMS 金鑰，也僅適用於[密碼編譯操作](kms-cryptography.md#cryptographic-operations)的請求。當請求速率超過外部[金鑰存放區的自訂金鑰存放區請求配額](requests-per-second.md#rps-key-stores)時， AWS KMS [會調節這些](throttling.md)請求。此指標不包括外部金鑰存放區代理或外部金鑰管理器的限流。

使用此指標來檢閱和調整自訂金鑰存放區請求配額的值。如果此指標指出 AWS KMS 經常調節您對這些 KMS 金鑰的請求，您可以考慮請求增加自訂金鑰存放區請求配額值。如需相關說明，請參閱《Service Quotas 使用者指南》**中的[請求提升配額](https://docs.aws.amazon.com/servicequotas/latest/userguide/request-quota-increase.html)。

如果您經常收到 `KMSInvalidStateException` 錯誤，並且訊息說明「因為請求率非常高」而拒絕請求，或「因為外部金鑰存放區代理未及時回應」而拒絕請求，則可能表示您的外部金鑰管理器或外部金鑰存放區代理無法跟上目前的請求率。如果可能，請降低您的請求率。您也可以考慮請求減少自訂金鑰存放區請求配額值。減少此配額值可能會增加限流 （和`ExternalKeyStoreThrottle`指標值），但表示 在將多餘的請求傳送到外部金鑰存放區代理或外部金鑰管理器之前 AWS KMS ， 會快速拒絕這些請求。若要請求減少配額，請造訪 [AWS 支援 中心](https://console.aws.amazon.com/support/home)並建立案例。

**維度群組名稱**：**Keystore Throttle Metrics** (金鑰存放區限流指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個外部金鑰存放區的值。 | 
| KmsOperation | 每個 AWS KMS API 操作的值。此指標僅適用於外部金鑰存放區中 KMS 金鑰的密碼編譯操作。 | 
| KeySpec | 每個 KMS 金鑰類型的值。外部金鑰存放區中 KMS 金鑰的唯一受支援的[金鑰規格](create-keys.md#key-spec)為 SYMMETRIC\_DEFAULT。 | 

### XksProxyCertificateDaysToExpire
<a name="metric-xks-proxy-certificate-days-to-expire"></a>

[外部金鑰存放區代理端點](create-xks-keystore.md#require-endpoint) (`XksProxyUriEndpoint`) 的 TLS 憑證到期前的天數。此指標只適用於[外部金鑰存放區](keystore-external.md)。

使用此指標建立 CloudWatch 警示，通知您 TLS 憑證即將到期。當憑證過期時， AWS KMS 無法與外部金鑰存放區代理通訊。在您續約憑證之前，外部金鑰存放區中受 KMS 金鑰保護的所有資料都無法存取。

憑證警示可防止憑證過期，這可能使您無法存取已加密的資源。設定警示可讓組織有時間在憑證過期之前續約憑證。

**維度群組名稱**：**XKS Proxy Certificate Metrics** (XKS 代理憑證指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個外部金鑰存放區的值。 | 
| CertificateName | TLS 憑證中的主體名稱 (CN)。 | 

您可以根據外部金鑰存放區和外部金鑰存放區中 KMS 金鑰的指標來建立 CloudWatch 警示。如需說明，請參閱[監控外部金鑰存放區](xks-monitoring.md)。

### XksProxyCredentialAge
<a name="metric-xks-proxy-credential-age"></a>

自當前外部金鑰存放區[代理身分驗證憑證](keystore-external.md#concept-xks-credential) (`XksProxyAuthenticationCredential`) 與外部金鑰存放區相關聯之後的天數。當您在建立或更新外部金鑰存放區時輸入身分驗證憑證，此計數便會開始。此指標只適用於[外部金鑰存放區](keystore-external.md)。

此值旨在提醒您身分驗證憑證的有效期。但是，由於我們會在您將憑證與外部金鑰存放區建立關聯時開始計數，而不是在外部金鑰存放區代理上建立身分驗證憑證時，因此這可能不是代理上憑證有效期的準確指標。

使用此指標建立 CloudWatch 警示，提醒您輪換外部金鑰存放區代理身分驗證憑證。

**維度群組名稱**：**Per-Keystore Metrics** (每個金鑰存放區指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個外部金鑰存放區的值。 | 

您可以根據外部金鑰存放區和外部金鑰存放區中 KMS 金鑰的指標來建立 CloudWatch 警示。如需說明，請參閱[監控外部金鑰存放區](xks-monitoring.md)。

### XksProxyErrors
<a name="metric-xks-proxy-errors"></a>

與外部[金鑰存放區代理](keystore-external.md#concept-xks-proxy) AWS KMS 請求相關的例外狀況數目。此計數包含外部金鑰存放區代理傳回 的例外狀況， AWS KMS 以及外部金鑰存放區代理未在 250 毫秒逾時間隔 AWS KMS 內回應時發生的逾時錯誤。此指標只適用於[外部金鑰存放區](keystore-external.md)。

使用此指標可追蹤外部金鑰存放區中 KMS 金鑰的錯誤率。它顯示了最常見的錯誤，因此您可以優先考慮工程工作。例如，產生高速率不可重試錯誤的 KMS 金鑰可能表示外部金鑰存放區的組態有問題。若要檢視外部金鑰存放區組態，請參閱 [檢視外部金鑰存放區](view-xks-keystore.md)。若要編輯外部金鑰存放區設定，請參閱 [編輯外部金鑰存放區屬性](update-xks-keystore.md)。

**維度群組名稱**：**XKS Proxy Error Metrics** (XKS 代理錯誤指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個外部金鑰存放區的值。 | 
| KmsOperation | 產生 XKS 代理請求的每個 AWS KMS API 操作的值。 | 
| XksOperation | 每個[外部金鑰存放區代理 API 操作](keystore-external.md#concept-proxy-apis)的值。 | 
| KeySpec | 每個 KMS 金鑰類型的值。外部金鑰存放區中 KMS 金鑰的唯一受支援的[金鑰規格](create-keys.md#key-spec)為 SYMMETRIC\_DEFAULT。 | 
| ErrorType | 數值：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/kms/latest/developerguide/monitoring-cloudwatch.html) | 
| ExceptionName | 數值：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/kms/latest/developerguide/monitoring-cloudwatch.html) | 

您可以根據外部金鑰存放區和外部金鑰存放區中 KMS 金鑰的指標來建立 CloudWatch 警示。如需說明，請參閱[監控外部金鑰存放區](xks-monitoring.md)。

### XksExternalKeyManagerStates
<a name="metric-xks-ekm-states"></a>

下列每個運作狀態中的[外部金鑰管理器執行個體](keystore-external.md#concept-ekm)的數目計數：`Active`、`Degraded` 和 `Unavailable`。此指標的資訊來自與每個外部金鑰存放區關聯的外部金鑰存放區代理。此指標只適用於[外部金鑰存放區](keystore-external.md)。

以下是與外部金鑰存放區相關聯之外部金鑰管理器執行個體的運作狀態。每個外部金鑰存放區代理可能會使用不同的指標來測量外部金鑰管理器的運作狀態。如需詳細資訊，請參閱外部金鑰存放區代理的文件。
+ `Active`：外部金鑰管理器運作正常。
+ `Degraded`：外部金鑰管理器運作不正常，但仍可提供流量
+ `Unavailable`：外部金鑰管理器無法提供流量。

使用此指標建立 CloudWatch 警示，以提醒您存在降級和無法使用的外部金鑰管理器執行個體。若要確定處於每個狀態的外部金鑰管理器執行個體，請參閱外部金鑰存放區代理日誌。

**維度群組名稱**：**XKS External Key Manager Metrics** (XKS 外部金鑰管理器指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個外部金鑰存放區的值。 | 
| XksExternalKeyManagerState | 每個運作狀態的值。 | 

您可以根據外部金鑰存放區和外部金鑰存放區中 KMS 金鑰的指標來建立 CloudWatch 警示。如需說明，請參閱[監控外部金鑰存放區](xks-monitoring.md)。

### XksProxyLatency
<a name="metric-xks-proxy-latency"></a>

外部金鑰存放區代理回應 AWS KMS 請求所需的毫秒數。如果請求逾時，則記錄的值為 250 毫秒逾時限制。此指標只適用於[外部金鑰存放區](keystore-external.md)。

使用此指標可評估外部金鑰存放區代理和外部金鑰管理器的效能。例如，如果代理在加密和解密操作中經常逾時，請咨詢您的外部代理管理員。

回應緩慢也可能表示您的外部金鑰管理器無法處理目前的請求流量。 AWS KMS 建議外部金鑰管理器每秒最多可處理 1800 個密碼編譯操作的請求。如果您的外部金鑰管理器無法處理每秒 1800 個請求，請考慮請求減少[自訂金鑰存放區中 KMS 金鑰的請求配額](requests-per-second.md#rps-key-stores)。使用外部金鑰存放區中的 KMS 金鑰進行密碼編譯操作的請求會快速檢錯，並發生[限流例外狀況](throttling.md)，而不是被外部金鑰存放區代理或外部金鑰管理器處理並拒絕。

**維度群組名稱**：**XKS Proxy Latency Metrics** (XKS 代理延遲指標)


| 維度 | Description | 
| --- | --- | 
| CustomKeyStoreId | 每個外部金鑰存放區的值。 | 
| KmsOperation | 產生 XKS 代理請求的每個 AWS KMS API 操作的值。 | 
| XksOperation | 每個[外部金鑰存放區代理 API 操作](keystore-external.md#concept-proxy-apis)的值。 | 
| KeySpec | 每個 KMS 金鑰類型的值。外部金鑰存放區中 KMS 金鑰的唯一受支援的[金鑰規格](create-keys.md#key-spec)為 SYMMETRIC\_DEFAULT。 | 

您可以根據外部金鑰存放區和外部金鑰存放區中 KMS 金鑰的指標來建立 CloudWatch 警示。如需說明，請參閱[監控外部金鑰存放區](xks-monitoring.md)。