本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 設定 Amazon DevOps Guru
完成本節中的任務，以首次設定 Amazon DevOps Guru。如果您已經有 AWS 帳戶、知道要分析哪些 AWS 帳戶，並具有用於洞見通知的 Amazon Simple Notification Service 主題，您可以直接跳到 [DevOps Guru 入門](getting-started.md)。
或者，您可以使用 的快速設定功能 AWS Systems Manager來設定 DevOps Guru，並快速設定其選項。您可以使用快速設定為獨立帳戶或組織設定 DevOps Guru。若要在 Systems Manager 中使用快速設定為組織設定 DevOps Guru，您必須具備下列先決條件：
+ 使用 的組織 AWS Organizations。如需詳細資訊，請參閱*AWS Organizations 《 使用者指南*》中的[AWS Organizations 術語和概念](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html)。
+ 兩個或多個組織單位 OUs)。
+ 每個 OU 中的一或多個目標 AWS 帳戶。
+ 一個管理員帳戶具有管理目標帳戶的權限。
若要了解如何使用快速設定設定 DevOps Guru，請參閱*AWS Systems Manager 《 使用者指南*》中的[使用快速設定設定 DevOps Guru](https://docs.aws.amazon.com/systems-manager/latest/userguide/quick-setup-devops.html)。
使用下列步驟來設定 DevOps Guru，無需快速設定。
+ [步驟 1 – 註冊 AWS](#setting-up-aws-sign-up)
+ [步驟 2 – 判斷 DevOps Guru 的涵蓋範圍](#setting-up-determine-coverage)
+ [步驟 3 – 識別您的 Amazon SNS 通知主題](#setting-up-notifications)
## 步驟 1 – 註冊 AWS
### 註冊 AWS 帳戶
如果您沒有 AWS 帳戶，請完成下列步驟來建立一個。
**註冊 AWS 帳戶**
1. 開啟 [https://portal.aws.amazon.com/billing/signup](https://portal.aws.amazon.com/billing/signup)。
1. 請遵循線上指示進行。
部分註冊程序需接收來電或簡訊，並在電話鍵盤輸入驗證碼。
當您註冊 時 AWS 帳戶，*AWS 帳戶根使用者*會建立 。根使用者有權存取該帳戶中的所有 AWS 服務 和資源。作為安全最佳實務，請將管理存取權指派給使用者，並且僅使用根使用者來執行[需要根使用者存取權的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
AWS 會在註冊程序完成後傳送確認電子郵件給您。您可以隨時登錄 [https://aws.amazon.com/](https://aws.amazon.com/) 並選擇**我的帳戶**，以檢視您目前的帳戶活動並管理帳戶。
### 建立具有管理存取權的使用者
註冊 後 AWS 帳戶，請保護 AWS 帳戶根使用者、啟用 AWS IAM Identity Center和建立管理使用者，以免將根使用者用於日常任務。
**保護您的 AWS 帳戶根使用者**
1. 選擇**根使用者**並輸入 AWS 帳戶 您的電子郵件地址，以帳戶擁有者[AWS 管理主控台](https://console.aws.amazon.com/)身分登入 。在下一頁中，輸入您的密碼。
如需使用根使用者登入的說明，請參閱 *AWS 登入 使用者指南*中的[以根使用者身分登入](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-tutorials.html#introduction-to-root-user-sign-in-tutorial)。
1. 若要在您的根使用者帳戶上啟用多重要素驗證 (MFA)。
如需說明，請參閱《*IAM 使用者指南*》中的[為您的 AWS 帳戶 根使用者 （主控台） 啟用虛擬 MFA 裝置](https://docs.aws.amazon.com/IAM/latest/UserGuide/enable-virt-mfa-for-root.html)。
**建立具有管理存取權的使用者**
1. 啟用 IAM Identity Center。
如需指示，請參閱《AWS IAM Identity Center 使用者指南》**中的[啟用 AWS IAM Identity Center](https://docs.aws.amazon.com//singlesignon/latest/userguide/get-set-up-for-idc.html)。
1. 在 IAM Identity Center 中，將管理存取權授予使用者。
如需使用 IAM Identity Center 目錄 做為身分來源的教學課程，請參閱*AWS IAM Identity Center 《 使用者指南*》中的[使用預設值設定使用者存取 IAM Identity Center 目錄](https://docs.aws.amazon.com//singlesignon/latest/userguide/quick-start-default-idc.html)。
**以具有管理存取權的使用者身分登入**
+ 若要使用您的 IAM Identity Center 使用者簽署，請使用建立 IAM Identity Center 使用者時傳送至您電子郵件地址的簽署 URL。
如需使用 IAM Identity Center 使用者登入的說明，請參閱*AWS 登入 《 使用者指南*》中的[登入 AWS 存取入口網站](https://docs.aws.amazon.com/signin/latest/userguide/iam-id-center-sign-in-tutorial.html)。
**指派存取權給其他使用者**
1. 在 IAM Identity Center 中，建立一個許可集來遵循套用最低權限的最佳實務。
如需指示，請參閱《AWS IAM Identity Center 使用者指南》**中的[建立許可集](https://docs.aws.amazon.com//singlesignon/latest/userguide/get-started-create-a-permission-set.html)。
1. 將使用者指派至群組，然後對該群組指派單一登入存取權。
如需指示，請參閱《AWS IAM Identity Center 使用者指南》**中的[新增群組](https://docs.aws.amazon.com//singlesignon/latest/userguide/addgroups.html)。
## 步驟 2 – 判斷 DevOps Guru 的涵蓋範圍
您的界限涵蓋範圍會決定 Amazon DevOps Guru 針對異常行為所分析 AWS 的資源。建議您將資源分組到營運應用程式中。資源界限中的所有資源都應該包含一或多個應用程式。如果您有一個操作解決方案，則涵蓋範圍界限應該包含其所有資源。如果您有多個應用程式，請選擇構成每個解決方案的資源，並使用 CloudFormation 堆疊或 AWS 標籤將其分組在一起。無論您指定的所有合併資源定義一或多個應用程式，DevOps Guru 都會分析並組成其涵蓋範圍界限。
使用下列其中一種方法來指定 操作解決方案中的資源。
+ 選擇讓您的 AWS 區域和帳戶定義您的涵蓋範圍界限。使用此選項，DevOps Guru 會分析帳戶和區域中的所有資源。如果您只將 帳戶用於一個應用程式，這是不錯的選擇。
+ 使用 CloudFormation 堆疊來定義營運應用程式中的資源。 CloudFormation 範本會為您定義和產生資源。當您設定 DevOps Guru 時，請指定建立應用程式資源的堆疊。您可以隨時更新堆疊。您選擇的堆疊中的所有資源都會定義您的界限涵蓋範圍。如需詳細資訊，請參閱[使用 CloudFormation 堆疊來識別 DevOps Guru 應用程式中的資源](working-with-cfn-stacks.md)。
+ 使用 AWS 標籤來指定應用程式中 AWS 的資源。DevOps Guru 只會分析包含您選擇的標籤的資源。這些資源構成您的界限。
AWS 標籤由標籤*索引鍵*和標籤*值*組成。您可以指定一個標籤*索引鍵*，也可以指定一或多個使用該*索引鍵**的值*。對其中一個應用程式中的所有資源使用一個*值*。如果您有多個應用程式，請針對所有應用程式使用具有相同*索引鍵*的標籤，並使用標籤*的值*將資源分組到您的應用程式中。所有具有您選擇構成 DevOps Guru 涵蓋範圍之標籤的資源。如需詳細資訊，請參閱[使用標籤來識別 DevOps Guru 應用程式中的資源](working-with-resource-tags.md)。
如果您的界限涵蓋範圍包含由多個應用程式組成的資源，您可以使用 標籤來篩選您的洞見，以一次依一個應用程式檢視這些洞見。如需詳細資訊，請參閱 中的步驟 4[檢視 DevOps Guru 洞見](working-with-insights.md#view-insights)。
如需詳細資訊，請參閱[使用 AWS 資源定義應用程式](working-with-resource-collections.md)。如需支援服務和資源的詳細資訊，請參閱 [Amazon DevOps Guru 定價](https://aws.amazon.com/devops-guru/pricing/)。
## 步驟 3 – 識別您的 Amazon SNS 通知主題
您可以使用一或兩個 Amazon SNS 主題來產生重要 DevOps Guru 事件的通知，例如建立洞見的時間。這可確保您知道 DevOps Guru 盡快發現的問題。當您設定 DevOps Guru 時，請準備好您的主題。當您使用 DevOps Guru 主控台設定 DevOps Guru 時，您可以使用其名稱或其 Amazon Resource Name (ARN) 指定通知主題。如需詳細資訊，請參閱[啟用 DevOps Guru](https://docs.aws.amazon.com/devops-guru/latest/userguide/getting-started-enable-service.html)。您可以使用 Amazon SNS 主控台來檢視每個主題的名稱和 ARN。如果您沒有主題，則可以在使用 DevOps Guru 主控台啟用 DevOps Guru 時建立主題。如需詳細資訊，請參閱《*Amazon Simple Notification Service 開發人員指南*》中的[建立主題](https://docs.aws.amazon.com/sns/latest/dg/sns-tutorial-create-topic.html)。
### 新增到 Amazon SNS 主題的許可
Amazon SNS 主題是包含 AWS Identity and Access Management (IAM) 資源政策的資源。當您在此處指定主題時，DevOps Guru 會將下列許可附加至其資源政策。
```
{
"Sid": "DevOpsGuru-added-SNS-topic-permissions",
"Effect": "Allow",
"Principal": {
"Service": "region-id.devops-guru.amazonaws.com"
},
"Action": "sns:Publish",
"Resource": "arn:aws:sns:region-id:topic-owner-account-id:my-topic-name",
"Condition" : {
"StringEquals" : {
"AWS:SourceArn": "arn:aws:devops-guru:region-id:topic-owner-account-id:channel/devops-guru-channel-id",
"AWS:SourceAccount": "topic-owner-account-id"
}
}
}
```
DevOps Guru 需要這些許可才能使用主題發佈通知。如果您不想對主題擁有這些許可，您可以安全地移除這些許可，而且主題會繼續像您選擇主題之前一樣運作。不過，如果移除這些附加的許可，DevOps Guru 就無法使用 主題來產生通知。