Exporter l’activité des utilisateurs avec OpenTelemetry

Vous pouvez envoyer les mêmes métriques quotidiennes agrégées sur l’activité des utilisateurs à votre collecteur compatible avec OpenTelemetry. Kiro transmet les crédits, les crédits de dépassement, les messages, les conversations et le nombre de messages par modèle une fois par jour à 2 h UTC. L’exportation est configurée par un administrateur et ne peut pas être configurée individuellement par les utilisateurs.

Kiro prend en charge OTLP/gRPC et OTLP/HTTP avec l’encodage protobuf. gRPC est utilisé par défaut. Dans la console Kiro, l’option HTTP est nommée HTTP/protobuf.

L’exportation OpenTelemetry et le rapport CSV dans Amazon S3 sont indépendants. Vous pouvez activer l’un ou l’autre des formats, ou les deux. Kiro stocke uniquement l’ARN de votre secret AWS Secrets Manager et lit le point de terminaison du collecteur et l’en-tête d’authentification dans le secret au moment de l’exportation.

Choisissez le protocole, le point de terminaison et l’unique en-tête d’authentification acceptés par votre destination avant de créer le secret. Utilisez les configurations de destination suivantes :

Remplacez deployment, region, collector-host et environment par les valeurs de votre destination. Remplacez l’espace réservé aux informations d’identification dans l’en-tête par vos informations d’identification d’ingestion.

Utilisez des informations d’identification d’ingestion plutôt que des informations d’identification d’administration. Pour Honeycomb, utilisez l’ID et le secret combinés de la clé d’ingestion, et non uniquement l’ID de la clé. Pour Elastic, encodez id:api_key en base64. Pour Datadog, utilisez une clé API, et non une clé d’application. Pour Dynatrace, utilisez un jeton d’accès doté de l’autorisation metrics.ingest. Amazon CloudWatch exige une clé API avec jeton porteur, car Kiro ne peut pas signer l’exportation avec AWS Signature Version 4 (SigV4). Pour créer la clé, consultez Configuration de l’authentification par jeton de porteur pour Metrics dans le Guide de l’utilisateur Amazon CloudWatch.

Créez une clé AWS KMS symétrique gérée par le client pour le chiffrement et le déchiffrement. La clé aws/secretsmanager par défaut ne peut pas être utilisée, car Kiro lit le secret à partir d’un autre compte AWS. La clé KMS, le secret Secrets Manager et le profil Kiro doivent se trouver dans la même Région AWS.

Ajoutez l’instruction suivante à la politique de la clé KMS. Remplacez region par la Région de votre profil Kiro. Cette instruction accorde au principal de service q.amazonaws.com l’autorisation de déchiffrer le secret par l’intermédiaire de Secrets Manager dans cette Région.

{
  "Sid": "AllowKiroDecryptViaSecretsManager",
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "secretsmanager.region.amazonaws.com"
    }
  }
}

Enregistrez la politique. Vous sélectionnerez cette clé comme clé de chiffrement lorsque vous créerez le secret.

Dans la même Région que votre profil Kiro, créez un secret de type Autre type de secret dans AWS Secrets Manager. Dans l'onglet Texte brut, saisissez un objet JSON contenant exactement les clés suivantes :

{
  "OTEL_EXPORTER_OTLP_ENDPOINT": "https://collector-host:443",
  "OTEL_EXPORTER_OTLP_HEADERS": "Header-Name=token"
}

• OTEL_EXPORTER_OTLP_ENDPOINT est le point de terminaison OTLP de votre collecteur.
• OTEL_EXPORTER_OTLP_HEADERS est un en-tête d’authentification au format Name=value. Kiro divise la chaîne à la première occurrence de = afin que le remplissage base64 comme == dans la valeur soit préservé.

Le point de terminaison de votre collecteur doit être accessible depuis l’Internet public et utiliser un certificat TLS signé par une autorité de certification publique reconnue. Kiro rejette les certificats autosignés. Utilisez un nom d’hôte plutôt qu’une adresse IP, car Kiro vérifie le nom d’hôte du certificat.

Pour Clé de chiffrement, sélectionnez la clé KMS gérée par le client que vous avez créée. Ne sélectionnez pas aws/secretsmanager. Ajoutez la politique de ressource suivante au secret afin que Kiro puisse lire sa valeur :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKiroGetSecretValue",
      "Effect": "Allow",
      "Principal": {
        "Service": "q.amazonaws.com"
      },
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "*"
    }
  ]
}

Stockez le secret et copiez son ARN, qui respecte le format arn:aws:secretsmanager:region:accountId:secret:secretName-randomSuffix.

1. Connectez-vous à la console AWS.

2. Passez à la console Kiro. Vous devez disposer des autorisations décrites dans Politique : autoriser les administrateurs à configurer Kiro et à abonner des utilisateurs.

3. Choisissez Paramètres.

4. Sous Rapports d'activité des utilisateurs de Kiro, choisissez Modifier.

5. Choisissez le format d'exportation OpenTelemetry (OTel).

6. Saisissez l'ARN du secret Secrets Manager.

7. Sélectionnez le protocole accepté par votre collecteur : gRPC ou HTTP/protobuf.

8. Choisissez Activer.

La première exportation s’exécute pendant le prochain cycle de 2 h UTC. Les métriques d’une date d’activité sont envoyées le jour suivant, et Kiro n’envoie aucune donnée à votre collecteur lorsque vous enregistrez la configuration.

Kiro n’envoie aucune notification de réussite ou d’échec. Confirmez la livraison dans votre destination en interrogeant kiro.daily.credits ou une autre métrique exportée et en appliquant un filtre sur l’attribut de ressource service.name = kiro-enterprise.

Une exportation réussie présente les caractéristiques suivantes :

• kiro.daily.credits et kiro.daily.messages sont présents.
• Pour chaque métrique exportée, attendez-vous à un point de données quotidien par utilisateur actif et par type de client. kiro.daily.model_messages comporte un point de données par modèle.
• L’attribut date indique la date d’activité, soit le jour précédant l’exécution de l’exportation.
• Chaque point de données comprend au moins kiro.user.id, kiro.client.type et kiro.user.new.

Les systèmes dorsaux basés sur Prometheus peuvent remplacer les points dans les noms de métriques par des traits de soulignement. Par exemple, kiro.daily.credits peut s’afficher sous la forme kiro_daily_credits.

Vérifiez la destination, car Kiro considère une requête acceptée par le collecteur comme réussie même si le collecteur rejette par la suite ses points de données.

Chaque série chronologique obtenue reçoit un point de données quotidien. Si une requête de plage ne renvoie aucune donnée, utilisez une fenêtre étroite autour de l’heure d’exportation et un pas précis, comme 60 secondes. Un nom de métrique peut rester dans un index ou dans la saisie semi-automatique une fois que ses points de données se trouvent hors de la fenêtre temporelle sélectionnée ; confirmez donc que la requête renvoie des points de données plutôt qu’uniquement un nom de métrique.

Toutes les métriques exportées sont des compteurs Sum OTLP monotones dans l’espace de noms kiro.daily.*.

Chaque point de données kiro.daily.model_messages comprend kiro.model.name, qui identifie le modèle représenté par la colonne CSV dynamique correspondante.

Chaque point de données peut comprendre les attributs suivants :

Chaque exportation comprend également les attributs de ressource suivants :

• Kiro réessaie automatiquement les échecs transitoires, jusqu’à un maximum de trois tentatives pour une date d’activité.
• Si toutes les tentatives échouent, Kiro ne renvoie pas les données et ne remplit pas automatiquement les données manquantes pour cette date. La destination présente une lacune pour cette journée.
• Si une date est exportée de nouveau, Kiro ne déduplique pas les points de données dans votre collecteur. Le collecteur les reçoit une deuxième fois.
• Une requête acceptée par votre collecteur est considérée comme réussie même si le collecteur rejette par la suite une partie ou la totalité des points de données. Vérifiez les métriques à la destination.
• Les erreurs de configuration se répètent jusqu’à ce que vous les corrigiez. Après la mise à jour du secret, Kiro utilise la nouvelle valeur pendant le prochain cycle de 2 h UTC.
• La sélection de gRPC pour un point de terminaison qui prend uniquement en charge HTTP, ou de HTTP/protobuf pour un point de terminaison qui prend uniquement en charge gRPC, empêche la livraison. Kiro ne vous avise pas de l’échec.

Si aucune métrique n’arrive, vérifiez que le secret et la clé KMS se trouvent dans la Région du profil Kiro. Confirmez que q.amazonaws.com dispose de l’autorisation secretsmanager:GetSecretValue sur le secret et des autorisations kms:Decrypt et kms:DescribeKey sur la clé KMS. Vérifiez ensuite le protocole, l’accessibilité du point de terminaison, le certificat TLS et l’en-tête d’authentification requis par votre destination.