Condivisione dei pannelli di controllo CloudWatch

Puoi condividere i pannelli di controllo CloudWatch con persone che non hanno accesso diretto al tuo account AWS. In questo modo puoi condividere pannelli di controllo tra i team, con le parti interessate e con persone esterne all'organizzazione. Puoi anche visualizzare pannelli di controllo su grandi schermi nelle aree del team, o incorporarli in pagine Wiki e altre pagine Web.

Quando si condividono pannelli di controllo, è possibile specificare chi può visualizzare il pannello di controllo in tre modi:

La condivisione di un pannello di controllo non comporta costi, ma i widget all'interno di un pannello di controllo condiviso prevedono addebiti secondo le tariffe CloudWatch standard. Per ulteriori informazioni sui prezzi di CloudWatch, consulta Prezzi di Amazon CloudWatch.

Quando condividi un pannello di controllo, le risorse di Amazon Cognito vengono create nella Regione Stati Uniti orientali (Virginia settentrionale).

Autorizzazioni necessarie per condividere un pannello di controllo

Per poter condividere pannelli di controllo utilizzando uno dei metodi descritti di seguito e per vedere quali pannelli di controllo sono già stati condivisi, devi essere connesso come utente IAM o con un ruolo IAM che dispone di determinate autorizzazioni.

Per poter condividere pannelli di controllo, l'utente o il ruolo IAM deve includere le autorizzazioni incluse nella seguente istruzione di policy:

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateRole",
        "iam:CreatePolicy",
        "iam:AttachRolePolicy",
        "iam:PassRole"
    ],
    "Resource": [
        "arn:aws:iam::*:role/service-role/CWDBSharing*",
        "arn:aws:iam::*:policy/*"
    ]
},
{
    "Effect": "Allow",
    "Action": [
        "cognito-idp:*",
        "cognito-identity:*",
    ],
    "Resource": [
        "*"
    ]
},
{
    "Effect": "Allow",
    "Action": [
        "cloudwatch:GetDashboard",
    ],
    "Resource": [
        "*"
        // or the ARNs of dashboards that you want to share
    ]
}

Per vedere quali pannelli di controllo sono condivisi, ma senza poterli condividere, un utente IAM o un ruolo IAM può includere un'istruzione di policy simile alla seguente:

{
    "Effect": "Allow",
    "Action": [
        "cognito-idp:*",
        "cognito-identity:*"
    ],
    "Resource": [
        "*"
    ]
},
{
    "Effect": "Allow",
    "Action": [
        "cloudwatch:ListDashboards",
    ],
    "Resource": [
        "*" 
    ]
}

Autorizzazioni concesse agli utenti con cui condividi il pannello di controllo

Quando si condivide un pannello di controllo, CloudWatch crea un ruolo IAM nell'account che fornisce le seguenti autorizzazioni agli utenti con cui condividi il pannello di controllo:

Quando condividi un pannello di controllo, per impostazione predefinita le autorizzazioni create da CloudWatch limitano l'accesso solo agli avvisi e alle regole di Contributor Insights presenti nel pannello di controllo quando è condiviso. Se si aggiungono nuovi avvisi o regole di Contributor Insights dei collaboratori al pannello di controllo e si desidera che vengano visualizzati anche dagli utenti con cui è stato condiviso il pannello di controllo, devi aggiornare la policy per consentire queste risorse.

Consentire alle persone con cui condividi di vedere allarmi compositi

Quando condividi un pannello di controllo, per impostazione predefinita i widget di allarme composito sul pannello di controllo non sono visibili agli utenti con cui si condivide il pannello di controllo. Affinché i widget di allarme composito siano visibili, devi aggiungere un'autorizzazione DescribeAlarms: * alle policy di condivisione del pannello di controllo. L'autorizzazione avrebbe il seguente aspetto:

{
    "Effect": "Allow",
    "Action": "cloudwatch:DescribeAlarms",
    "Resource": "*"
}

{
    "Effect": "Allow",
    "Action": "cloudwatch:DescribeAlarms",
    "Resource": "*"
},
{   
    "Effect": "Deny",
    "Action": "cloudwatch:DescribeAlarms",
    "Resource": [
        "SensitiveAlarm1ARN",
        "SensitiveAlarm1ARN"
    ]
}

Consentire alle persone con cui condividi di visualizzare i widget della tabella dei log

Quando condividi un pannello di controllo, per impostazione predefinita i widget di CloudWatch Logs Insights sul pannello di controllo non sono visibili agli utenti con cui condividi il pannello di controllo. Ciò influisce sia sui widget di CloudWatch Logs Insights esistenti che su quelli aggiunti al pannello di controllo dopo averlo condiviso.

Se desideri che queste persone siano in grado di visualizzare i widget di CloudWatch Logs, devi aggiungere autorizzazioni al ruolo IAM per la condivisione del pannello di controllo.

Se la policy IAM per la condivisione del pannello di controllo include già queste cinque autorizzazioni con * come risorsa, ti consigliamo vivamente di modificare la policy e specificare solo gli ARN dei gruppi di log che desideri condividere. Ad esempio, se la sezione Resource per queste autorizzazioni era la seguente:

"Resource": "*"

Modifica la policy per specificare solo gli ARN dei gruppi di log che desideri condividere, come nell'esempio seguente:

"Resource": [
  "SharedLogGroup1ARN",
  "SharedLogGroup2ARN"
]

Consentire alle persone con cui condividi di visualizzare i widget personalizzati

Quando condividi un pannello di controllo, per impostazione predefinita i widget personalizzati presenti nel pannello di controllo non sono visibili agli utenti con cui condividi il pannello di controllo. Ciò influisce sia sui widget personalizzati esistenti che su quelli aggiunti al pannello di controllo dopo la condivisione.

Se desideri che queste persone siano in grado di visualizzare widget personalizzati, devi aggiungere autorizzazioni al ruolo IAM per la condivisione del pannello di controllo.

Se la policy IAM per la condivisione del pannello di controllo include già tale autorizzazione con *come risorsa, ti consigliamo vivamente di modificare la olicy e di specificare solo gli ARN delle funzioni Lambda che desideri condividere. Ad esempio, se la sezione Resource per queste autorizzazioni era la seguente:

"Resource": "*"

Modifica la policy per specificare solo gli ARN dei widget personalizzati che desideri condividere, come nell'esempio seguente:

"Resource": [
  "LambdaFunction1ARN",
  "LambdaFunction2ARN"
]