ステップ 1: AWS にデータを送信することを、アプリケーションに許可する

Amazon Cognito を使用して、CloudWatch RUM でアプリケーション用の新しい Amazon Cognito ID プールを作成します。この方法では、セットアップに必要な労力が最小限に抑えられます。

ID プールには、認証されていない ID が含まれています。これにより、CloudWatch RUM のウェブクライアントは、アプリケーションのユーザーを認証することなく CloudWatch RUM にデータを送信できます。

Amazon Cognito ID プールには、アタッチ済みの IAM ロールも含まれています。Amazon Cognito 内の認証されていない ID により、ウェブクライアントは、CloudWatch RUM にデータを送信することが許可された IAM ロールを引き受けることができます。

認証には、Amazon Cognito を使用します。これを使用する場合は、既存の Amazon Cognito ID プールを使用することも、このアプリモニターで使用する新しい ID プールを作成することもできます。既存の ID プールを使用する場合は、ID プールにアタッチされている IAM ロールも変更する必要があります。このオプションは、認証されていないユーザーをサポートするアイデンティティプールに使用します。ID プールは、同じリージョンからのみ使用できます。

先に設定を行ってある、既存の ID プロバイダからの認証を使用します。この場合は、ID プロバイダから認証情報を取得する必要があります。またこれらの認証情報は、アプリケーションから RUM ウェブクライアントに転送する必要があります。

認証されたユーザーのみをサポートするアイデンティティプールには、このオプションを使用します。

リソースベースのポリシーを使用して、アプリモニターへのアクセスを管理します。これには、AWS 認証情報なしで認証されていないリクエストを CloudWatch RUM に送信する機能が含まれます。リソースベースのポリシーと RUM の詳細については、「CloudWatch RUM でのリソースベースのポリシーの使用」を参照してください。

以下のアクセス許可を持つ IAM ロールを作成します。アプリケーションは、AWS へのアクセスにこのロールを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "rum:PutRumEvents",
            "Resource": "arn:aws:rum:[region]:[accountID]:appmonitor/[app monitor name]"
        }
    ]
}

アプリケーションがプロバイダーからの認証情報を CloudWatch RUM に渡すようにするため。以下を追加します。アプリケーションに行を挿入します。これは、ユーザーがアプリケーションにサインインし、AWS へのアクセスに使用する資格情報がアプリケーションで受け取られた後に実行されます。

cwr('setAwsCredentials', {/* Credentials or CredentialProvider */});