Kontenübergreifende Untersuchungen

Richten Sie Ihr Überwachungskonto für den kontoübergreifenden Zugriff ein

1. Öffnen Sie die CloudWatch Konsole unter. https://console.aws.amazon.com/cloudwatch/

2. Wählen Sie im linken Navigationsbereich AI Operations, Configuration aus.

3. Wählen Sie unter Kontoübergreifenden Zugriff konfigurieren die Option Konfigurieren aus.

4. Fügen Sie im Abschnitt Quellkonten auflisten die Konto-ID für bis zu 25 Konten hinzu.

5. Aktualisieren Sie Ihre IAM-Rolle.

   1. Automatisch

      • Wenn Sie die Assistentenrolle automatisch aktualisieren (empfohlen) wählen, wird eine vom Kunden verwaltete Richtlinie mit dem Namen erstellt, die die sts:AssumeRole Anweisungen enthältAIOpsAssistantCrossAccountPolicy-${guid}, die für die Übernahme der Assistentenrolle in den angegebenen Quellkonten erforderlich sind. Wenn Sie die Option „Automatisches Update“ wählen, wird der Name der IAM-Rolle standardmäßig auf AIOps-CrossAccountInvestigationRole den Quellkonten festgelegt.

        JSON

        {
            "Version": "2012-10-17",
            "Statement": {
                "Effect": "Allow",
                "Action": "sts:AssumeRole",
                "Resource": [
                    "arn:aws:iam::777777777777:role/AIOps-CrossAccountInvestigationRole",
                    "arn:aws:iam::555555555555:role/AIOps-CrossAccountInvestigationRole",
                    "arn:aws:iam::666666666666:role/AIOps-CrossAccountInvestigationRole"
                ]
            }
        }
        

      • Wenn der Besitzer des Überwachungskontos ein Quellkonto aus der kontoübergreifenden Konfiguration entfernt, wird die IAM-Richtlinie nicht automatisch aktualisiert. Sie müssen die IAM-Rolle und -Richtlinie manuell aktualisieren, um sicherzustellen, dass sie immer über die geringstmöglichen Berechtigungen verfügt.

      • Wenn die Berechtigungen beim Entfernen eines Quellkontos nicht manuell aktualisiert werden, können Sie das Limit für verwaltete Richtlinien pro Rolle erreichen. Sie müssen alle ungenutzten verwalteten Richtlinien löschen, die Ihrer Ermittlungsrolle zugeordnet sind.

   2. manuell

      • Das folgende Beispiel zeigt die Vertrauensrichtlinie, die für die Assistentenrolle erforderlich ist:

        JSON

        
        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "AllowAIOpsAssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "aiops.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "sts:ExternalId": "arn:aws:aiops:us-east-1:123456789012:investigation-group/AaBbcCDde1EfFG2g"
                        }
                    }
                }
            ]
        }
        
        

        Sie können die Rolle verwenden AWS CLI , um das benutzerdefinierte Quellkonto zu erstellen und es dann mit den folgenden Befehlen AIOpsAssistantPolicy an die Rolle anzuhängen, wobei Sie die Platzhalterwerte durch die entsprechenden Werte für Ihre Umgebung ersetzen:

        aws iam create-role
         --role-name custom-role-name
         --assume-role-policy-document 
            '{ 
               "Version": "2012-10-17", 
               "Statement": [ 
                         { 
                              "Effect": "Allow",
                              "Principal": { "AWS": "investigation-group-role-arn"
                                  }, 
                              "Action": "sts:AssumeRole", 
                              "Condition": {
                                         "StringEquals": { 
                                                  "sts:ExternalId": "investigation-group-arn"
                                                    } } } ] }' 
        
        aws iam attach-role-policy 
         --role-name custom-role-name
         --policy-arn arn:aws:iam::aws:policy/AIOpsAssistantPolicy

      • Um kontenübergreifenden Zugriff zu gewähren, muss die Berechtigungsrichtlinie der Assistentenrolle im Überwachungskonto Folgendes enthalten. Wenn Sie das Überwachungskonto manuell konfigurieren, kann der Rollenname beliebig sein. Standardmäßig ist dies nicht der Fall. Stellen Sie sicherAIOps-CrossAccountInvestigationRole, dass Sie den Namen der Assistentenrolle für jedes der Quellkonten angeben.

        JSON

        {
            "Version": "2012-10-17",
            "Statement": {
                "Effect": "Allow",
                "Action": "sts:AssumeRole",
                "Resource": [
                    "arn:aws:iam::777777777777:role/custom_source_account_role_name",
                    "arn:aws:iam::555555555555:role/custom_source_account_role_name",
                    "arn:aws:iam::666666666666:role/custom_source_account_role_name"
                ]
            }
        }
        

      • Verwenden Sie die AWS CLI , um die Überwachungskonto-Untersuchungsgruppe mit der benutzerdefinierten Quellkontorolle ARN zu aktualisieren. Verwenden Sie dazu den folgenden Befehl und ersetzen Sie dabei die Platzhalterwerte durch die entsprechenden Werte für Ihre Umgebung:

        aws aiops update-investigation-group 
         --identifier investigation-group-id
         --cross-account-configurations sourceRoleArn=sourceRoleArn1  sourceRoleArn=sourceRoleArn2

        Weitere Informationen zu diesem Befehl finden Sie in der AWS CLI-Befehlsreferenz.

1. Stellen Sie eine IAM-Rolle mit dem Namen bereit, AIOps-CrossAccountInvestigationRole wenn Sie die Option Assistentenrolle automatisch aktualisieren ausgewählt haben, um das Überwachungskonto einzurichten. Wenn Sie die manuelle Einrichtungsoption verwendet haben, stellen Sie der IAM-Rolle den Rollennamen Ihres benutzerdefinierten Quellkontos zur Verfügung.

   1. Hängen Sie die AWS verwaltete Richtlinie AIOpsAssistantPolicy an die Rolle in der IAM-Konsole an.

   2. Die Vertrauensrichtlinie der Rolle auf dem Quellkonto sieht wie folgt aus. ExternalIDmuss in der Richtlinie angegeben werden. Verwenden Sie die Überwachungskonto-Ermittlungsgruppe ARN.

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::123456789012:role/investigation-role-name"
                  },
                  "Action": "sts:AssumeRole",
                  "Condition": {
                      "StringEquals": {
                          "sts:ExternalId": "investigation-group-arn"
                      }
                  }
              }
          ]
      }
      

2. Dies muss in jedem der Quellkonten erfolgen.

3. Wenn Sie die Rolle des Überwachungskontos über die Konsole einrichten, ist der Rollenname des Quellkontos standardmäßig auf AIOps-CrossAccountInvestionRole eingestellt.

4. Bestätigen Sie den Zugriff, indem Sie sich beim Überwachungskonto anmelden, zu Investigation Group, dann zu Konfiguration navigieren und dann Kontoübergreifende Einrichtung auswählen.

   Vergewissern Sie sich, dass das Quellkonto in der kontoübergreifenden Konfiguration angezeigt wird und der Status „Mit Überwachungskonto verknüpft“ lautet.