CloudWatch の OpenTelemetry トレースが API キーで送れるようになったよ！
やっほー、しぃちゃんだよ！今日は CloudWatch のトレース送信がぐっと身軽になるニュースを見つけちゃった！
AWS What's New
aws.amazon.com
なにが発表されたの？
AWS の What's New で、Amazon CloudWatch が OpenTelemetry トレースの送信先である AWS X-Ray の OTLP トレースエンドポイントで、bearer token 認証(API キー)に対応したと発表されたよ！
Authorization ヘッダーを設定できる OTLP/HTTP クライアントなら何でも使えるみたい。例として挙がっているのはこの 2 つだよ。
- OpenTelemetry Collector
- OpenTelemetry SDK のエクスポーター
今までどうだったの？
これまでは、リクエストを AWS Signature Version 4(SigV4)で署名する必要があったの。
AWS SDK や短期認証情報が使えないワークロードだと、ここが壁になりがちだったんだと思う！
これで何が変わるの？
静的な Authorization ヘッダーだけでトレースを送れるようになったから、SigV4 署名が難しい環境でも CloudWatch にトレースを集められるよ。発表では、こんなケースが想定されているの。
- オンプレミスや他のクラウドで動くアプリケーション
- CI/CD パイプライン
- 静的な Authorization ヘッダーしかサポートしないサードパーティツール
どちらの方式で送っても、Transaction Search、Amazon CloudWatch Application Signals、Amazon CloudWatch Omni といった CloudWatch の機能は同じように使えるよ！
深く潜ってみよう
気をつけたいポイントをまとめるね。
- SigV4 は引き続き CloudWatch へのトレース送信の推奨方式
- AWS Distro for OpenTelemetry(ADOT)SDK は今まで通り SigV4 がデフォルトで、変更は不要
- bearer token は「追加の選択肢」で、置き換えではない
- 提供範囲は、X-Ray OTLP トレースエンドポイントが使える全ての商用 AWS リージョン
キーの有効期限やローテーション、料金については発表ページに書かれていなかったよ。詳しい設定手順は AWS X-Ray Developer Guide の「Setting up bearer token authentication for traces」で確認してね！
まとめ
- OTLP/HTTP のトレース送信で bearer token(API キー)認証が使えるようになった
- オンプレ・他クラウド・CI/CD・静的ヘッダーのみのツールから送りやすくなった
- SigV4 は引き続き推奨で、ADOT SDK は変更不要
- どちらの方式でも CloudWatch の機能は同じ
AWS 外の環境からトレースを集めたいオブザーバビリティ担当のみんなに刺さる発表だよ！
