Amazon CloudWatch 中的基础设施安全性
作为一项托管式服务,Amazon CloudWatch 受 Amazon 全球网络安全保护。有关 Amazon 安全服务以及 Amazon 如何保护基础架构的信息,请参阅 Amazon 云安全
您可以使用 Amazon 发布的 API 调用,来通过网络访问 CloudWatch。客户端必须支持以下内容:
-
传输层安全性协议(TLS) 我们要求使用 TLS 1.2,建议使用 TLS 1.3。
-
具有完全向前保密 (PFS) 的密码套件,例如 DHE(Ephemeral Diffie-Hellman)或 ECDHE(Elliptic Curve Ephemeral Diffie-Hellman)。大多数现代系统(如 Java 7 及更高版本)都支持这些模式。
此外,必须使用访问密钥 ID 和与 IAM 委托人关联的秘密访问密钥来对请求进行签名。或者,您可以使用 Amazon Security Token Service (Amazon STS) 生成临时安全凭证来对请求进行签名。
网络隔离
Virtual Private Cloud (VPC) 是 Amazon Web Services 云内您自己的逻辑隔离区域中的虚拟网络。子网是 VPC 中的 IP 地址范围。您可以在 VPC 的子网中部署各种 Amazon 资源。例如,可以在子网中部署 Amazon EC2 实例、EMR 集群和 DynamoDB 表。有关更多信息,请参阅 Amazon VPC 用户指南。
要使 CloudWatch 能够在不访问公有 Internet 的情况下与 VPC 中的资源进行通信,请使用 Amazon PrivateLink。有关更多信息,请参阅将 CloudWatch 和 CloudWatch Synthetics 与接口 VPC 终端节点结合使用。
私有子网是不具有到公共 Internet 的默认路由的子网。在私有子网中部署 Amazon 资源不会阻止 Amazon CloudWatch 从资源中收集内置指标。
如果您需要在私有子网发布来自 Amazon 资源的自定义指标,则可使用代理服务器执行此操作。代理服务器会将这些 HTTPS 请求转发到 CloudWatch 的公有 API 端点。