Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Envío de registros a CloudWatch registros mediante el punto final HLC

Amazon CloudWatch Logs admite un punto final HTTP Log Collector (HLC) que le permite enviar registros directamente a CloudWatch Logs mediante un protocolo simple basado en HTTP. Esta función simplifica la ingesta de registros para aplicaciones y servicios sin necesidad de integrar el SDK. AWS

La función de punto final HLC le permite:

Requisitos previos

Antes de poder enviar los registros mediante el punto final HLC, debe:

Opción 1: configuración simplificada mediante la AWS consola (recomendada)

La consola AWS de administración proporciona un flujo de trabajo simplificado para generar claves de API para el acceso a los puntos finales del HLC.

Permisos incluidos: el usuario de IAM creado automáticamente tendrá los siguientes permisos:

Opción 2: configuración manual

Si prefiere tener más control sobre la configuración de IAM o necesita personalizar los permisos, puede configurar el terminal HLC manualmente.

Paso 1: Crear un usuario de IAM

Cree un usuario de IAM que se utilizará para la ingesta de registros:

Paso 2: generar credenciales específicas del servicio (clave de API)

Genere la clave CloudWatch de API de Logs mediante la CreateServiceSpecificCredentialAPI. También puede utilizar el comando create-service-specific-credentialCLI. En cuanto a la antigüedad de las credenciales, puede especificar un valor entre 1 y 36600 días. Si no especifica una antigüedad de la credencial, la clave de API no caducará.

Para generar una clave de API con una caducidad de 30 días:

aws iam create-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-name logs.amazonaws.com \
    --credential-age-days 30

La respuesta es un ServiceSpecificCredentialobjeto. El ServiceCredentialSecret valor es tu clave de API de CloudWatch Logs (token portador).

Paso 3: Crear un grupo de registros y un flujo de registros

Cree el grupo de registros y el flujo de registros donde se almacenarán sus registros:

# Create the log group
aws logs create-log-group \
    --log-group-name /aws/hlc-logs/my-application \
    --region us-east-1

# Create the log stream
aws logs create-log-stream \
    --log-group-name /aws/hlc-logs/my-application \
    --log-stream-name application-stream-001 \
    --region us-east-1

Paso 4: Habilite la autenticación por token portador

Habilite la autenticación por token portador en el grupo de registros:

aws logs put-bearer-token-authentication \
    --log-group-identifier /aws/hlc-logs/my-application \
    --bearer-token-authentication-enabled \
    --region us-east-1

Verifique la configuración:

aws logs describe-log-groups \
    --log-group-name-prefix /aws/hlc-logs/my-application \
    --region us-east-1

Envío de registros al punto final del HLC

Formato de punto de conexión

La URL del punto final del HLC sigue este formato:

https://logs.<region>.amazonaws.com/services/collector/event?logGroup=<name>&logStream=<name>[&entityName=<name>&entityEnvironment=<environment>]

Parámetros necesarios:

Parámetros opcionales:

Si lo desea, puede asociar sus eventos de registro a una Service entidad mediante la inclusión de los siguientes parámetros de consulta. Como los registros enviados a través del punto final del HLC son telemetría personalizada, no se asocian automáticamente a una entidad. Al proporcionar estos parámetros, CloudWatch Logs crea una entidad con KeyAttributes.Type set en Service y la asocia a sus eventos de registro. Esto permite que la función relacionada con Explore CloudWatch correlacione estos registros con otros datos de telemetría (métricas, trazas y registros) del mismo servicio, lo que facilita la resolución de problemas y la supervisión de las aplicaciones en diferentes tipos de señales. Para obtener más información sobre las entidades y la telemetría relacionada, consulte Añadir información relacionada a la telemetría personalizada.

Formato de las solicitudes

Envíe los registros mediante HTTP POST con los siguientes encabezados y cuerpo:

Encabezados:

Formato de cuerpo:

El cuerpo de la solicitud debe estar en formato JSON con una serie de eventos:

{
    "event": [
        {
            "time": 1730141374.001,
            "event": "Application started successfully",
            "host": "web-server-1",
            "source": "application.log",
            "severity": "info"
        },
        {
            "time": 1730141374.457,
            "event": "User login successful",
            "host": "web-server-1",
            "source": "auth.log",
            "user": "john.doe"
        }
    ]
}

Descripciones de los campos:

Se pueden incluir campos personalizados adicionales según sea necesario.

Ejemplo de solicitud

curl -X POST \
    'https://logs.<region>.amazonaws.com/services/collector/event?logGroup=/aws/hlc-logs/my-application&logStream=application-stream-001' \
    -H "Authorization: Bearer <your-bearer-token>" \
    -H "Content-Type: application/json" \
    -d '{
        "event": [
            {
                "time": 1730141374.001,
                "event": "Application started",
                "host": "web-server-1",
                "severity": "info"
            }
        ]
    }'

Controle los permisos para generar y usar las claves CloudWatch de API de Logs

La generación y el uso de las claves de la API de CloudWatch Logs se controlan mediante claves de acción y condición tanto en los servicios de CloudWatch Logs como de IAM.

Controlar la generación de claves de API de CloudWatch Logs

La CreateServiceSpecificCredential acción iam: controla la generación de una clave específica del servicio (como una clave de API de CloudWatch Logs). Puede limitar esta acción a los usuarios de IAM como una forma de restringir el número de usuarios para los que se puede generar una clave.

Puede utilizar las siguientes claves de condición para imponer condiciones al permiso de la acción iam:CreateServiceSpecificCredential:

Controlar el uso de las claves de API de CloudWatch Logs

La logs:CallWithBearerToken acción controla el uso de una clave de API de CloudWatch Logs. Para evitar que una identidad utilice las claves de la API de CloudWatch Logs, adjunte una política que deniegue la logs:CallWithBearerToken acción al usuario de IAM asociado a la clave.

Ejemplos de políticas

Impida que una identidad genere y utilice las claves de la API CloudWatch de Logs

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DenyCWLAPIKeys",
            "Effect": "Deny",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "logs:CallWithBearerToken"
            ],
            "Resource": "*"
        }
    ]
}

Impida que una identidad utilice las claves de la API de CloudWatch Logs

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "logs:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

Permita la creación de claves de CloudWatch registro solo si caducan en un plazo de 90 días

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceSpecificCredential",
            "Resource": "arn:aws:iam::123456789012:user/username",
            "Condition": {
                "StringEquals": {
                    "iam:ServiceSpecificCredentialServiceName": "logs.amazonaws.com"
                },
                "NumericLessThanEquals": {
                    "iam:ServiceSpecificCredentialAgeDays": "90"
                }
            }
        }
    ]
}

Gestione las claves de API CloudWatch de Logs comprometidas

Si su clave de API se ve comprometida, debe revocar los permisos para usarla. Puede utilizar las siguientes operaciones de la API de IAM para gestionar las claves comprometidas:

Cambia el estado de una clave de API de CloudWatch Logs

Para desactivar una clave, usa el update-service-specific-credentialcomando:

aws iam update-service-specific-credential \
    --user-name cloudwatch-logs-hlc-user \
    --service-specific-credential-id ACCA1234EXAMPLE1234 \
    --status Inactive

Para reactivar la clave, cambie el estado a. Active

Restablezca una clave de API CloudWatch de Logs

Si el valor de tu clave se ha visto comprometido o ya no la tienes, restablécela con el reset-service-specific-credentialcomando. La clave no debe haber caducado todavía. Si ya ha caducado, elimínela y cree una nueva.

aws iam reset-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

Elimina una clave de API de CloudWatch Logs

Si ya no necesitas una clave o esta ha caducado, elimínala con el siguiente delete-service-specific-credentialcomando:

aws iam delete-service-specific-credential \
    --service-specific-credential-id ACCA1234EXAMPLE1234

Adjunta políticas de IAM para eliminar los permisos de uso de una clave de API CloudWatch de Logs

Para evitar que una identidad realice llamadas con una clave de API de CloudWatch Logs, adjunta la siguiente política al usuario de IAM asociado a la clave:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Deny",
        "Action": "logs:CallWithBearerToken",
        "Resource": "*"
    }
}

Registrar el uso de la clave de API con CloudTrail

Se puede utilizar AWS CloudTrail para registrar eventos de datos para el uso de la clave de la API de CloudWatch Logs. CloudWatch Los registros emiten eventos de AWS::Logs::LogGroupAuthorization datos para CallWithBearerToken las llamadas, lo que te permite auditar cuándo y cómo se utilizan las claves de API para enviar los registros.

Para habilitar el CloudTrail registro para el uso de las claves CloudWatch de la API de Logs:

Prácticas recomendadas

Agrupación de eventos por lotes

Para un mejor rendimiento y eficiencia:

Gestión de errores

Implemente una gestión de errores adecuada en su aplicación. Códigos de estado HTTP comunes:

Limitaciones