View a markdown version of this page

Intégration à Amazon EKS - Amazon CloudWatch
Configuration d’une entrée d’accès Amazon EKS (console)Configuration des entrées d’accès Amazon EKS (CDK)AmazonAIOpsAssistantPolicyMises à jour de AmazonAIOpsAssistantPolicy

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Intégration à Amazon EKS

CloudWatch les groupes d'investigation peuvent utiliser les informations provenant directement de votre cluster Amazon EKS. Pour commencer, accordez d’abord les autorisations nécessaires au rôle IAM du Investigation Group. Nous vous recommandons d'utiliser la politique d'accès AWS géré par défaut AmazonAIOpsAssistantPolicy qui permet aux groupes d' CloudWatch investigation d'accéder aux ressources du cluster. En utilisant cette stratégie, vous recevrez automatiquement les mises à jour des stratégies si nécessaire.

Note

AmazonAIOpsAssistantPolicy est une stratégie d’accès. La politique d'identité AWS gérée qui autorise l'accès associé aux groupes d' CloudWatch investigation est AIOpsAssistantPolicy.

Utilisez l’option Configuration avancée pour limiter la portée d’accès définie par la stratégie d’accès à un ensemble d’espaces de noms ou à l’ensemble du cluster. Vous pouvez également étendre l’accès en associant l’entrée d’accès à une autorisation RBAC du groupe Kubernetes. Pour plus d’informations, consultez Création des entrées d’accès.

Configuration d’une entrée d’accès Amazon EKS (console)

Pour associer le rôle AmazonAIOpsAssistantPolicy au rôle d'investigation à l'aide de la console de AWS gestion, procédez comme suit :

  1. Ouvrez la CloudWatch console et accédez à la page Configuration des investigations.

  2. Dans la section Accès Amazon EKS, sélectionnez l’option permettant d’associer la AmazonAIOpsAssistantPolicy à votre rôle d’enquête.

  3. Examinez les détails de la stratégie, puis confirmez l’association.

Pour personnaliser davantage la portée d’accès :

  1. Cliquez sur Configuration avancée dans la section Accès Amazon EKS.

  2. Vous serez redirigé vers la console Amazon EKS.

  3. Dans la console Amazon EKS, vous pouvez :

    1. Limiter la portée de la stratégie à des espaces de noms spécifiques

    2. Configurer la fonctionnalité de groupe pour un contrôle d’accès plus précis

Configuration des entrées d’accès Amazon EKS (CDK)

Pour configurer les entrées d'accès Amazon EKS à l'aide du AWS CDK, utilisez l'exemple de code suivant :


    const testAccessEntry = new AccessEntry(this, `test-access-entry`, {
        cluster: eksCluster,
        principal: investigationsIamRole.roleArn,
        accessPolicies: [
            AccessPolicy.fromAccessPolicyName('AmazonAIOpsAssistantPolicy', {
                accessScopeType: AccessScopeType.CLUSTER
            }),
        ],
    });

AmazonAIOpsAssistantPolicy

La stratégie d’accès Amazon EKS, AmazonAIOpsAssistantPolicy, accorde un accès complet en lecture seule aux ressources du cluster. Les informations provenant de chaque ressource peuvent ne pas être utilisées actuellement par CloudWatch les enquêtes.


    - apiGroups: [""]
      resources:
        - pods
        - pods/log
        - services
        - nodes
        - namespaces
        - events
        - persistentvolumes
        - persistentvolumeclaims
        - configmaps
      verbs:
        - get
        - list

    - apiGroups: ["apps"]
      resources:
        - deployments
        - replicasets
        - statefulsets
        - daemonsets
      verbs:
        - get
        - list

    - apiGroups: ["batch"]
      resources:
        - jobs
        - cronjobs
      verbs:
        - get
        - list

    - apiGroups: ["events.k8s.io"]
      resources:
        - events
      verbs:
        - get
        - list

    - apiGroups: ["networking.k8s.io"]
      resources:
        - ingresses
        - ingressclasses
      verbs:
        - get
        - list

    - apiGroups: ["storage.k8s.io"]
      resources:
        - storageclasses
      verbs:
        - get
        - list

    - apiGroups: ["metrics.k8s.io"]
      resources:
        - pods
        - nodes
      verbs:
        - get
        - list

Mises à jour de AmazonAIOpsAssistantPolicy

Modifier Description Date
Ajouter une politique pour les CloudWatch enquêtes Première version de AmazonAIOpsAssistantPolicy 9 août 2025