Indagini su più account

Configura il tuo account di monitoraggio per l'accesso da più account

1. Apri la CloudWatch console all'indirizzo https://console.aws.amazon.com/cloudwatch/.

2. Nel riquadro di navigazione a sinistra, scegli AI Operations, Configuration.

3. In Configura l'accesso tra account, seleziona Configura.

4. Aggiungi l'ID account per un massimo di 25 account nella sezione Elenca account di origine.

5. Aggiorna il tuo ruolo IAM.

   1. Automaticamente

      • Se scegli Aggiorna automaticamente il ruolo di assistente (consigliato), viene creata una politica gestita dal cliente denominata AIOpsAssistantCrossAccountPolicy-${guid} con le sts:AssumeRole istruzioni per assumere i ruoli dell'account di origine forniti. La scelta dell'opzione di aggiornamento automatico imposta come impostazione predefinita il nome del ruolo IAM AIOps-CrossAccountInvestigationRole negli account di origine.

        {
            "Version": "2012-10-17",
            "Statement": {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": [
                    "arn:aws:iam::777777777777:role/AIOps-CrossAccountInvestigationRole"
                    "arn:aws:iam::555555555555:role/AIOps-CrossAccountInvestigationRole"
                    "arn:aws:iam::666666666666:role/AIOps-CrossAccountInvestigationRole"
                    ]
            }
        }

      • Se il proprietario dell'account di monitoraggio rimuove un account di origine dalla configurazione tra account, la policy IAM non si aggiornerà automaticamente. Devi aggiornare manualmente il ruolo e la policy IAM per assicurarti che disponga sempre delle autorizzazioni minime possibili.

      • Puoi raggiungere il limite di policy gestite per ruolo se le autorizzazioni non vengono aggiornate manualmente quando viene rimosso un account di origine. È necessario eliminare tutte le politiche gestite non utilizzate associate al ruolo di indagine.

   2. Manualmente

      • Di seguito è riportato un esempio di come dovrebbe essere la politica di fiducia del ruolo di assistente. Per ulteriori informazioni, consulta Nozioni di base.

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Resource": {
                        "Service": "aiops.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "123456789012"
                        },
                        "ArnLike": {
                            "aws:SourceArn": "arn:aws:aiops:us-east-1:123456789012:investigation-group/*"
                        }
                    }
                }
            ]
        }

        Per concedere l'accesso su più account, la politica di autorizzazione del ruolo investigativo nell'account di monitoraggio deve contenere quanto segue. Se configuri manualmente l'account di monitoraggio, il nome del ruolo può essere quello che preferisci. L'impostazione predefinita non è AIOps-CrossAccountInvestigationRole

        {
            "Version": "2012-10-17",
            "Statement": {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": [
                    "arn:aws:iam::777777777777:role/source_role_name_1"
                    "arn:aws:iam::555555555555:role/source_role_name_2"
                    "arn:aws:iam::666666666666:role/source_role_name_3"
                    ]
            }
        }

1. Assegna un nome a un ruolo IAM AIOps-CrossAccountInvestigationRole se hai selezionato l'opzione Aggiorna automaticamente il ruolo di assistente per configurare l'account di monitoraggio. Se hai utilizzato l'opzione di configurazione manuale, fornisci al ruolo IAM il nome di ruolo personalizzato dell'account di origine.

   1. Allega la policy AWS gestita AIOpsAssistantPolicy al ruolo nella console IAM.

   2. La politica di fiducia del ruolo sull'account di origine si presenta così. ExternalIDdeve essere specificata nella politica. Utilizza il gruppo di indagine dell'account di monitoraggio arn.

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::123456789012:role/investigation-role-name"
                  },
                  "Action": "sts:AssumeRole",
                  "Condition": {
                      "StringEquals": {
                          "sts:ExternalId": "investigation-group-arn"
                  }
              }
          }
      ]

2. Questa operazione deve essere eseguita in ciascuno degli account di origine.

3. Se configuri il ruolo dell'account di monitoraggio tramite la console, il nome del ruolo dell'account di origine è predefinito su. AIOps-CrossAccountInvestionRole

4. Conferma l'accesso accedendo all'account di monitoraggio, accedendo a Investigation Group, quindi Configurazione e quindi scegliendo Configurazione tra account.

   Assicurati che l'account di origine compaia nella configurazione tra account e che lo stato sia Collegato all'account di monitoraggio.