アカウント間で AgentCore リソースをモニタリングする

Amazon CloudWatch クロスアカウントオブザーバビリティを使用して、1 つのモニタリングアカウントから複数の AWS アカウントで Amazon Bedrock AgentCore リソースをモニタリングできます。これにより、アカウントを切り替えることなく、ソースアカウントのエージェントメトリクス、トレース、セッション、リソースデータを表示できます。

クロスアカウントオブザーバビリティを有効にすると、モニタリングアカウントの AgentCore Observability コンソールに、リンクされたすべてのソースアカウントのデータとローカルアカウントデータが自動的に表示されます。

前提条件

アカウント間で AgentCore リソースをモニタリングする前に、以下を完了する必要があります。

クロスアカウントモニタリングを設定する方法

ステップ 1: モニタリングアカウントを設定する

ステップ 2: ソースアカウントをリンクする

次のいずれかの方法を使用して、ソースアカウントをモニタリングアカウントにリンクします。

ソースアカウントを設定するときは、モニタリングアカウントで選択したのと同じテレメトリタイプがソースアカウントでも有効になっていることを確認してください。

詳細な手順については、「モニタリングアカウントとソースアカウントをリンクする」を参照してください。

ステップ 3: AgentCore Observability でクロスアカウントデータを表示する

Infrastructure as Code を使用したクロスアカウントモニタリングの設定

AWS CloudFormation を使用して、CloudWatch Observability Access Manager (OAM) リソースを使用してクロスアカウントオブザーバビリティをプログラムで設定できます。

シンクとリンクを作成するために必要な IAM アクセス許可については、「必要なアクセス許可」を参照してください。

モニタリングアカウント: シンクを作成する

モニタリングアカウントで、ソースアカウントからのテレメトリを受け入れる OAM シンクを作成します。

シンクポリシーの範囲は、次のいずれかの方法で指定できます。

オプション 1: 組織内のすべてのアカウントを許可する

を AWS Organizations 組織 ID ( などo-a1b2c3d4e5) <your-org-id>に置き換えます。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Sink for cross-account AgentCore Observability (organization-wide)

Resources:
  ObservabilitySink:
    Type: AWS::Oam::Sink
    Properties:
      Name: AgentCoreObservabilitySink
      Policy:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal: '*'
            Action:
              - 'oam:CreateLink'
              - 'oam:UpdateLink'
            Resource: '*'
            Condition:
              StringEquals:
                aws:PrincipalOrgID: '<your-org-id>'
              ForAllValues:StringEquals:
                oam:ResourceTypes:
                  - 'AWS::Logs::LogGroup'
                  - 'AWS::CloudWatch::Metric'
      Tags:
        Purpose: AgentCoreObservability

Outputs:
  SinkArn:
    Value: !GetAtt ObservabilitySink.Arn
    Description: Share this ARN with source accounts to create links

オプション 2: 特定のソースアカウントを許可する

<source-account-id-1> と をソース AWS アカウントのアカウント IDs<source-account-id-2>に置き換えます。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Sink for cross-account AgentCore Observability (specific accounts)

Resources:
  ObservabilitySink:
    Type: AWS::Oam::Sink
    Properties:
      Name: AgentCoreObservabilitySink
      Policy:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - '<source-account-id-1>'
                - '<source-account-id-2>'
            Action:
              - 'oam:CreateLink'
              - 'oam:UpdateLink'
            Resource: '*'
            Condition:
              ForAllValues:StringEquals:
                oam:ResourceTypes:
                  - 'AWS::Logs::LogGroup'
                  - 'AWS::CloudWatch::Metric'
      Tags:
        Purpose: AgentCoreObservability

Outputs:
  SinkArn:
    Value: !GetAtt ObservabilitySink.Arn
    Description: Share this ARN with source accounts to create links

ソースアカウント: リンクを作成する

各ソースアカウントで、モニタリングアカウントのシンクへの OAM リンクを作成します。を前のステップのシンク ARN <sink-arn-from-monitoring-account>に置き換えます。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Link for cross-account AgentCore Observability

Resources:
  ObservabilityLink:
    Type: AWS::Oam::Link
    Properties:
      LabelTemplate: '$AccountName'
      ResourceTypes:
        - 'AWS::Logs::LogGroup'
        - 'AWS::CloudWatch::Metric'
      SinkIdentifier: '<sink-arn-from-monitoring-account>'
      Tags:
        Purpose: AgentCoreObservability

このリンクを組織内のすべてのメンバーアカウントにデプロイするには、 AWS CloudFormation StackSets を使用します。手順については、「モニタリングアカウントとソースアカウントをリンクする」を参照してください。

OAM リソースの詳細については、AWS CloudFormation OAM リソースリファレンス」を参照してください。

クロスアカウントデータのフィルタリング

セッションテーブルとトレーステーブルのアカウントごとにデータをフィルタリングできます。

制限事項

関連リソース