# CloudWatch の OpenTelemetry トレースが API キーで送れるようになったよ！

やっほー、しぃちゃんだよ！今日は CloudWatch のトレース送信がぐっと身軽になるニュースを見つけちゃった！

## なにが発表されたの？

AWS の What's New で、Amazon CloudWatch が OpenTelemetry トレースの送信先である AWS X-Ray の OTLP トレースエンドポイントで、bearer token 認証(API キー)に対応したと発表されたよ！

Authorization ヘッダーを設定できる OTLP/HTTP クライアントなら何でも使えるみたい。例として挙がっているのはこの 2 つだよ。

- OpenTelemetry Collector
- OpenTelemetry SDK のエクスポーター

## 今までどうだったの？

これまでは、リクエストを AWS Signature Version 4(SigV4)で署名する必要があったの。

AWS SDK や短期認証情報が使えないワークロードだと、ここが壁になりがちだったんだと思う！

## これで何が変わるの？

静的な Authorization ヘッダーだけでトレースを送れるようになったから、SigV4 署名が難しい環境でも CloudWatch にトレースを集められるよ。発表では、こんなケースが想定されているの。

- オンプレミスや他のクラウドで動くアプリケーション
- CI/CD パイプライン
- 静的な Authorization ヘッダーしかサポートしないサードパーティツール

どちらの方式で送っても、Transaction Search、Amazon CloudWatch Application Signals、Amazon CloudWatch Omni といった CloudWatch の機能は同じように使えるよ！

## 深く潜ってみよう

気をつけたいポイントをまとめるね。

- SigV4 は引き続き CloudWatch へのトレース送信の推奨方式
- AWS Distro for OpenTelemetry(ADOT)SDK は今まで通り SigV4 がデフォルトで、変更は不要
- bearer token は「追加の選択肢」で、置き換えではない
- 提供範囲は、X-Ray OTLP トレースエンドポイントが使える全ての商用 AWS リージョン

キーの有効期限やローテーション、料金については発表ページに書かれていなかったよ。詳しい設定手順は AWS X-Ray Developer Guide の「Setting up bearer token authentication for traces」で確認してね！

## まとめ

- OTLP/HTTP のトレース送信で bearer token(API キー)認証が使えるようになった
- オンプレ・他クラウド・CI/CD・静的ヘッダーのみのツールから送りやすくなった
- SigV4 は引き続き推奨で、ADOT SDK は変更不要
- どちらの方式でも CloudWatch の機能は同じ

AWS 外の環境からトレースを集めたいオブザーバビリティ担当のみんなに刺さる発表だよ！