Investigações entre contas

Configurar sua conta de monitoramento para acesso entre contas

1. Abra o console do CloudWatch, em https://console.aws.amazon.com/cloudwatch/.

2. No painel de navegação esquerdo, escolha Operações de IA, Configuração.

3. Em Configurar acesso entre contas, selecione Configurar.

4. Adicione o ID da conta para até 25 contas na seção Listar contas de origem.

5. Atualize o perfil do IAM.

   1. Automaticamente

      • Se você escolher Atualizar automaticamente o perfil do assistente (recomendado), isso criará uma política gerenciada pelo cliente chamada AIOpsAssistantCrossAccountPolicy-${guid} com as declarações sts:AssumeRole para assumir os perfis da conta de origem fornecida. Escolher a opção de atualização automática define como padrão o nome do perfil do IAM como AIOps-CrossAccountInvestigationRole nas contas de origem.

        {
            "Version": "2012-10-17",
            "Statement": {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": [
                    "arn:aws:iam::777777777777:role/AIOps-CrossAccountInvestigationRole"
                    "arn:aws:iam::555555555555:role/AIOps-CrossAccountInvestigationRole"
                    "arn:aws:iam::666666666666:role/AIOps-CrossAccountInvestigationRole"
                    ]
            }
        }

      • Se o proprietário da conta de monitoramento remover uma conta de origem da configuração entre contas, a política do IAM não será atualizada automaticamente. É necessário atualizar manualmente o perfil e a política do IAM para garantir que ambos sempre tenham o mínimo de permissões possível.

      • O limite de políticas gerenciadas por perfil poderá ser atingido se as permissões não forem atualizadas manualmente quando uma conta de origem for removida. Você deve excluir todas as políticas gerenciadas não utilizadas anexadas ao seu perfil de investigação.

   2. Manualmente

      • Abaixo está um exemplo de como deve ser a política de confiança do perfil de assistente. Para obter mais informações, consulte Conceitos básicos.

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Resource": {
                        "Service": "aiops.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "123456789012"
                        },
                        "ArnLike": {
                            "aws:SourceArn": "arn:aws:aiops:us-east-1:123456789012:investigation-group/*"
                        }
                    }
                }
            ]
        }

        Para conceder acesso entre contas, a política de permissão do perfil de investigação na conta de monitoramento deve conter o seguinte. Se você estiver configurando a conta de monitoramento manualmente, o nome do perfil poderá ser o que você escolher. Ele não tem AIOps-CrossAccountInvestigationRole como padrão

        {
            "Version": "2012-10-17",
            "Statement": {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": [
                    "arn:aws:iam::777777777777:role/source_role_name_1"
                    "arn:aws:iam::555555555555:role/source_role_name_2"
                    "arn:aws:iam::666666666666:role/source_role_name_3"
                    ]
            }
        }

1. Provisione um perfil do IAM com o nome AIOps-CrossAccountInvestigationRole se você selecionou a opção Atualizar automaticamente o perfil de assistente para configurar a conta de monitoramento. Se você usou a opção de configuração manual, provisione o perfil do IAM com o nome personalizado do perfil da conta de origem.

   1. Anexe a política gerenciada pela AWS AIOpsAssistantPolicy ao perfil no console do IAM.

   2. A política de confiança do perfil na conta de origem é semelhante a isto. É necessário especificar ExternalID na política. Use o ARN do grupo de investigação da conta de monitoramento.

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::123456789012:role/investigation-role-name"
                  },
                  "Action": "sts:AssumeRole",
                  "Condition": {
                      "StringEquals": {
                          "sts:ExternalId": "investigation-group-arn"
                  }
              }
          }
      ]

2. Isso deve ser feito em cada uma das contas de origem.

3. Se você configurar o perfil da conta de monitoramento via console, o nome do perfil da conta de origem será padronizado como AIOps-CrossAccountInvestionRole.

4. Confirme o acesso fazendo login na conta de monitoramento, navegando até Grupo de investigação e, em seguida, até Configuração. Escolha Configuração entre contas.

   Certifique-se de que a conta de origem apareça na configuração entre contas e que o status seja Vinculado à conta de monitoramento.