Como monitorar o AWS KMS keys

O monitoramento é uma parte importante do entendimento da disponibilidade, do estado e da utilização das suas AWS KMS keys no AWS KMS e da manutenção da confiabilidade, da disponibilidade e da performance de suas soluções da AWS. Coletar dados de monitoramento de todas as partes de sua solução da AWS irá ajudá-lo a depurar uma falha de vários pontos, caso ocorra. Porém, para começar a monitorar suas chaves do KMS, é necessário criar um plano de monitoramento que inclua respostas às seguintes perguntas:

• Quais são seus objetivos de monitoramento?

• Quais recursos você vai monitorar?

• Com que frequência você vai monitorar esses recursos?

• Quais ferramentas de monitoramento você usará?

• Quem realizará o monitoramento das tarefas?

• Quem deve ser notificado quando algo acontece?

A próxima etapa é monitorar as chaves do KMS ao longo do tempo para estabelecer uma linha de base para a utilização normal do AWS KMS e as expectativas no ambiente. Ao monitorar as suas chaves do KMS, armazene dados de monitoramento históricos para compará-los com os dados atuais, identificar padrões normais e anomalias e elaborar métodos para resolver problemas.

Por exemplo, é possível monitorar as atividades e os eventos da API do AWS KMS que afetam as chaves do KMS. Quando os dados ficam acima ou abaixo das normas estabelecidas, pode ser necessário investigar ou executar a ação corretiva.

Para estabelecer uma linha de base para padrões normais, monitore os seguintes itens:

• A atividade da API do AWS KMS para as operações do plano de dados. Essas são operações criptográficas que usam uma chave KMS, como Decrypt, Encrypt, e. ReEncryptGenerateDataKey

• A atividade da API do AWS KMS para operações do plano de controle que são importantes para você. Essas operações gerenciam uma chave KMS, e talvez você queira monitorar aquelas que alteram a disponibilidade de uma chave KMS (como ScheduleKeyDeletion,,, CancelKeyDeletionDisableKeyEnableKeyImportKeyMaterial, e DeleteImportedKeyMaterial) ou alteram o controle de acesso de uma chave KMS (como PutKeyPolicye). RevokeGrant

• Outras métricas do AWS KMS (como o tempo restante até a validade do material de chave importado) e eventos (como a validade do material de chave importado ou a exclusão ou a alternância de uma chave do KMS).

Ferramentas de monitoramento

A AWS fornece várias ferramentas que podem ser usadas para monitorar suas chaves do KMS. É possível configurar algumas dessas ferramentas para fazer o monitoramento em seu lugar, e, ao mesmo tempo, algumas das ferramentas exigem intervenção manual. Recomendamos que as tarefas de monitoramento sejam automatizadas ao máximo possível.

Ferramentas de monitoramento automatizadas

Use as seguintes ferramentas de monitoramento automatizadas para observar suas chaves do KMS e gerar relatórios quando algo for alterado.

• AWS CloudTrailMonitoramento de registros — compartilhe arquivos de log entre contas, monitore arquivos de CloudTrail log em tempo real enviando-os para o CloudWatch Logs, grave aplicativos de processamento de log com a Biblioteca de CloudTrail Processamento e valide se seus arquivos de log não foram alterados após a entrega. CloudTrail Para obter mais informações, consulte Trabalhando com arquivos de CloudTrail log no Guia AWS CloudTrail do usuário.

• Amazon CloudWatch Alarms — Observe uma única métrica durante um período de tempo especificado por você e execute uma ou mais ações com base no valor da métrica em relação a um determinado limite em vários períodos. A ação é uma notificação enviada para um tópico do Amazon Simple Notification Service (Amazon SNS) ou para uma política do Amazon EC2 Auto Scaling. CloudWatch os alarmes não invocam ações simplesmente porque estão em um determinado estado; o estado deve ter sido alterado e mantido por um determinado número de períodos. Para ter mais informações, consulte Monitoramento com a Amazon CloudWatch.

• Amazon EventBridge — Combine eventos e encaminhe-os para uma ou mais funções ou fluxos de destino para capturar informações sobre o estado e, se necessário, fazer alterações ou tomar medidas corretivas. Para obter mais informações, consulte Monitoramento com a Amazon EventBridge o Guia do EventBridge usuário da Amazon.

• Amazon CloudWatch Logs — Monitore, armazene e acesse seus arquivos de log de AWS CloudTrail ou de outras fontes. Para obter mais informações, consulte o Guia do usuário do Amazon CloudWatch Logs.

Ferramentas de monitoramento manual

Outra parte importante do monitoramento das chaves KMS envolve o monitoramento manual dos itens que os CloudWatch alarmes e eventos não cobrem. Os AWS painéis AWS KMS CloudWatch,AWS Trusted Advisor,, e outros fornecem uma at-a-glance visão do estado do seu AWS ambiente.

É possível personalizar as páginas Chaves gerenciadas pela AWS e Customer managed keys (Chaves gerenciadas pelo cliente) do console do AWS KMS para exibir as seguintes informações sobre cada chave do KMS:

• ID da chave

• Status

• Data de Criação

• Data de validade (para chaves do KMS com material de chave importado)

• Origem

• ID de armazenamento de chave personalizado (para chaves do KMS em armazenamentos de chaves personalizados)

O painel do console do CloudWatch mostra o seguinte:

• Alertas e status atual

• Gráficos de alertas e recursos

• Estado de integridade do serviço

Além disso, você pode usar CloudWatch para fazer o seguinte:

• Crie painéis personalizados para monitorar os serviços com os quais você se preocupa.

• Colocar em gráfico dados de métrica para solucionar problemas e descobrir tendências

• Pesquisar e procurar todas as métricas de recursos da AWS

• Criar e editar alertas para ser notificado sobre problemas

O AWS Trusted Advisor pode ajudar a monitorar os recursos da AWS para melhorar a performance, a confiabilidade, a segurança e a economia. Quatro verificações do Trusted Advisor estão disponíveis a todos os usuários; mais de 50 verificações estão disponíveis para usuários com um plano de suporte Business ou Enterprise. Para ter mais informações, consulte AWS Trusted Advisor.