Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Cross-account Console interregionale CloudWatch

La CloudWatch console per più account e più regioni ti consente di passare facilmente da un account all'altro e da un'area geografica diversi utilizzando i selettori nella console per visualizzare le dashboard, gli allarmi e le metriche in altri account e regioni. Questa funzione consente inoltre di creare dashboard per più account e più regioni che riepilogano le CloudWatch metriche di più AWS account e più regioni in un'unica dashboard, rendendole accessibili senza dover cambiare account o regione.

Molte organizzazioni hanno le proprie AWS risorse distribuite in più account, per fornire limiti di fatturazione e sicurezza. In questo caso, dovresti designare uno o più dei tuoi account come account di monitoraggio e creare in questi account i dashboard interregionali per più account. Cross-account La funzionalità della console interregionale è integrata con AWS Organizations, per aiutarti a creare in modo efficiente i tuoi dashboard interregionali per più account.

L'esperienza della CloudWatch console con più account e più regioni non fornisce una visibilità interregionale per i log. Inoltre, non supporta la creazione di allarmi sulle metriche di altri account o Regioni dall'interno di un account di monitoraggio.

Abilitazione della funzionalità interregionale per più account in CloudWatch

Per configurare la funzionalità interregionale tra account nella CloudWatch console, utilizza la CloudWatch console per configurare gli account di condivisione e gli account di monitoraggio.

Configurazione di un account di condivisione

È necessario abilitare la condivisione in ogni account che renderà i dati disponibili per l'account di monitoraggio.

Ciò concede le autorizzazioni di sola lettura scelte nel passaggio 5 a tutti gli utenti che visualizzano una dashboard con più account nell'account con cui condividi, se l'utente dispone delle autorizzazioni corrispondenti nell'account con cui condividi.

Condivisione con un'intera organizzazione

Completando la procedura precedente viene creato un ruolo IAM che consente all'account di condividere i dati con un account. È possibile creare o modificare un ruolo IAM che condivide i dati con tutti gli account di un'organizzazione. Eseguire questa operazione solo se si conoscono e si considerano attendibili tutti gli account dell'organizzazione.

Ciò concede le autorizzazioni di sola lettura elencate nelle politiche illustrate nel passaggio 5 della procedura precedente a tutti gli utenti che visualizzano una dashboard con più account nell'account con cui condividi, se l'utente dispone delle autorizzazioni corrispondenti nell'account con cui condividi.

Configurazione di un account di monitoraggio

Abilita ogni account di monitoraggio per visualizzare i CloudWatch dati di più account. Puoi abilitare un account di monitoraggio utilizzando la CloudWatch console Amazon o il AWS Cloud Development Kit (AWS CDK).

Dopo aver impostato un account di monitoraggio, puoi creare dashboard per più account. Per ulteriori informazioni, consulta Creazione di una dashboard personalizzata CloudWatch.

Abilita un account di monitoraggio utilizzando la console

Una volta completata la procedura seguente, CloudWatch crea un ruolo di servizio che CloudWatch utilizza nell'account di monitoraggio per accedere ai dati condivisi dagli altri account. Questo ruolo di servizio viene chiamato ServiceRoleForCloudWatchCrossAccountV2.

Abilita un account di monitoraggio utilizzando il CDK

Puoi anche configurare un account di monitoraggio senza utilizzare la console. Definisci il ServiceRoleForCloudWatchCrossAccountV2 ruolo dell'infrastruttura come codice. Utilizza questo approccio quando gestisci più account di monitoraggio. Distribuisce il ruolo in modo coerente in tutti. L'esempio seguente utilizza l' AWS CDK in TypeScript per definire il ruolo con la politica di fiducia richiesta e una politica di autorizzazioni in linea:

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  path: '/service-role/',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

Questo esempio utilizza una risorsa con caratteri jolly, che è l'ambito meno restrittivo. Per limitare l'account di monitoraggio a specifici account di condivisione o a un'organizzazione, modificate l'resourcesarray. Puoi aggiungere una conditions proprietà con una aws:ResourceOrgID condizione. Entrambi gli approcci corrispondono a una delle politiche in linea nella sezione seguente.

Per distribuire il ruolo a più account contemporaneamente, usa il modello sintetizzato con. CloudFormation StackSets Uno stack set crea il ruolo su più account e regioni in un'unica operazione. Inoltre, uno stack set distribuisce automaticamente il ruolo ai nuovi account che entrano a far parte dell'organizzazione. Per ulteriori informazioni CloudFormation StackSets, consulta Lavorare con CloudFormation StackSets nella Guida per l'CloudFormation utente.

Ambito degli account a cui può accedere l'account di monitoraggio

Quando si definisce il ruolo con il AWS CDK, la politica delle autorizzazioni in linea concede l'autorizzazione. sts:AssumeRole CloudWatch utilizza questa autorizzazione per inserirla CloudWatch-CrossAccountSharingRole nei tuoi account di condivisione. Per seguire il principio del privilegio minimo, limita l'sts:AssumeRoleazione ai soli account Resource di cui ha bisogno l'account di monitoraggio. Puoi definire l'ambito dell'accesso nei seguenti modi, dal più restrittivo al meno restrittivo:

Cross-Region funzionalità

Questa funzionalità fornisce Cross-Region funzionalità automaticamente. Non è necessario eseguire ulteriori passaggi per visualizzare le metriche di diverse regioni in un singolo account sullo stesso grafico o sulla stessa dashboard. Cross-Region la funzionalità non è supportata per gli allarmi, quindi non puoi creare un avviso in una regione che osserva una metrica in un'altra regione.

(Facoltativo) Effettua l'integrazione con AWS Organizations

Se desideri integrare la funzionalità tra più account con AWS Organizations, devi rendere disponibile agli account di monitoraggio un elenco di tutti gli account dell'organizzazione.

Risoluzione dei problemi relativi alla configurazione di più CloudWatch account

Questa sezione contiene suggerimenti per la risoluzione dei problemi relativi alla distribuzione di console su più account in CloudWatch.

Monitoraggio delle autorizzazioni degli account per l'accesso tra più account

Per accedere correttamente a un'azione negli account di origine, l'utente nell'account di monitoraggio deve disporre dell'autorizzazione equivalente per tutte le risorse (*) per quell'azione nell'account di monitoraggio. Si tratta di un requisito di autorizzazione locale nell'account di monitoraggio e non è correlato alle autorizzazioni nel ruolo di condivisione tra account negli account di origine.

Esempio

Per avviare una query Logs in un account di origine, è necessario disporre dell'accesso con caratteri jolly (*) StartQuery nell'account di monitoraggio. Il ruolo tra account diversi dell'account di origine può comunque limitare l'accesso a gruppi di log specifici.

Supportata - risorsa jolly:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Non supportato - ARN specifico:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Disabilitazione e pulizia dopo l'utilizzo di più account

Per disattivare la funzionalità tra account diversi per CloudWatch, segui questi passaggi.

Passaggio 1: rimuovere gli stack o i ruoli di più account

Il metodo migliore consiste nel rimuovere gli CloudFormation stack utilizzati per abilitare la funzionalità tra account.

Se non hai utilizzato gli CloudFormation stack per abilitare la funzionalità tra più account, procedi come segue:

Passaggio 2: rimuovere il ruolo del servizio

Nell'account di monitoraggio, elimina il ruolo del servizio ServiceRoleForCloudWatchCrossAccountV2 IAM.