监控跨账户的 AgentCore 资源

您可以使用 Amazon CloudWatch 跨账户可观察性通过单个监控账户监控多个 AWS 账户的 Amazon Bedrock AgentCore 资源。这使您无需在账户之间切换即可查看来自源账户的代理指标、跟踪、会话和资源数据。

启用跨账户可观察性后，您的监控账户中的 AgentCore Observability 控制台会自动显示来自所有关联源账户的数据以及您的本地账户数据。

先决条件

在跨账户监控 AgentCore 资源之前，必须完成以下操作：

如何设置跨账户监控

步骤 1：配置监控账户

第 2 步：关联源账户

使用以下方法之一将您的源账户关联到监控账户：

配置源帐户时，请确保在源帐户中也启用了在监控帐户中选择的相同遥测类型。

有关详细说明，请参阅将监控账户与源账户关联。

步骤 3：在 Observability 中 AgentCore 查看跨账户数据

使用基础设施即代码设置跨账户监控

您可以使用 AWS CloudFormation 可观察性访问管理器 (OAM) 资源以编程方式配置跨账户CloudWatch 可观察性。

有关创建接收器和链接所需的 IAM 权限，请参阅必要权限。

监控账户：创建接收器

在您的监控账户中，创建一个接受来自源账户的遥测的 OAM 接收器。

您可以通过以下方式之一来确定接收器策略的范围：

选项 1：允许组织中的所有账户

<your-org-id>替换为您的 AWS Organizations 组织 ID（例如，o-a1b2c3d4e5）。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Sink for cross-account AgentCore Observability (organization-wide)

Resources:
  ObservabilitySink:
    Type: AWS::Oam::Sink
    Properties:
      Name: AgentCoreObservabilitySink
      Policy:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal: '*'
            Action:
              - 'oam:CreateLink'
              - 'oam:UpdateLink'
            Resource: '*'
            Condition:
              StringEquals:
                aws:PrincipalOrgID: '<your-org-id>'
              ForAllValues:StringEquals:
                oam:ResourceTypes:
                  - 'AWS::Logs::LogGroup'
                  - 'AWS::CloudWatch::Metric'
      Tags:
        Purpose: AgentCoreObservability

Outputs:
  SinkArn:
    Value: !GetAtt ObservabilitySink.Arn
    Description: Share this ARN with source accounts to create links

选项 2：允许特定的来源账户

<source-account-id-2>用来源 AWS 账户的账户 ID 替换<source-account-id-1>和。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Sink for cross-account AgentCore Observability (specific accounts)

Resources:
  ObservabilitySink:
    Type: AWS::Oam::Sink
    Properties:
      Name: AgentCoreObservabilitySink
      Policy:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - '<source-account-id-1>'
                - '<source-account-id-2>'
            Action:
              - 'oam:CreateLink'
              - 'oam:UpdateLink'
            Resource: '*'
            Condition:
              ForAllValues:StringEquals:
                oam:ResourceTypes:
                  - 'AWS::Logs::LogGroup'
                  - 'AWS::CloudWatch::Metric'
      Tags:
        Purpose: AgentCoreObservability

Outputs:
  SinkArn:
    Value: !GetAtt ObservabilitySink.Arn
    Description: Share this ARN with source accounts to create links

来源账户：创建链接

在每个源账户中，创建指向监控账户接收器的 OAM 链接。<sink-arn-from-monitoring-account>替换为上一步中的接收器 ARN。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Link for cross-account AgentCore Observability

Resources:
  ObservabilityLink:
    Type: AWS::Oam::Link
    Properties:
      LabelTemplate: '$AccountName'
      ResourceTypes:
        - 'AWS::Logs::LogGroup'
        - 'AWS::CloudWatch::Metric'
      SinkIdentifier: '<sink-arn-from-monitoring-account>'
      Tags:
        Purpose: AgentCoreObservability

要在组织中的所有成员账户中部署此链接，请使用 AWS CloudFormation StackSets。有关说明，请参阅将监控账户与源账户关联。

有关 OAM 资源的更多信息，请参阅 AWS CloudFormation OAM 资源参考。

筛选跨账户数据

您可以在会话和跟踪表中按账户筛选数据：

限制

相关资源