Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Cross-account Regionsübergreifende Konsole CloudWatch

Mit der konto- und regionsübergreifenden CloudWatch Konsole können Sie problemlos zwischen verschiedenen Konten und Regionen wechseln, indem Sie in der Konsole mithilfe von Selektoren die Dashboards, Alarme und Kennzahlen in anderen Konten und Regionen anzeigen. Mit dieser Funktion können Sie auch konto- und regionsübergreifende Dashboards erstellen, die Ihre CloudWatch Kennzahlen aus mehreren AWS Konten und mehreren Regionen in einem einzigen Dashboard zusammenfassen, sodass Sie darauf zugreifen können, ohne dass Sie zwischen Konten oder Regionen wechseln müssen.

Viele Unternehmen haben ihre AWS Ressourcen auf mehrere Konten verteilt, um Abrechnungs- und Sicherheitsgrenzen festzulegen. In diesem Fall sollten Sie eines oder mehrere Ihrer Konten als Ihre Überwachungskonten festlegen und Ihre kontoübergreifenden regionsübergreifenden Dashboards auf diesen Konten erstellen. Cross-account Die regionsübergreifende Konsolenfunktion ist in integriert AWS Organizations, sodass Sie Ihre kontoübergreifenden regionsübergreifenden Dashboards effizient erstellen können.

Die konto- und regionsübergreifende CloudWatch Konsolenerfahrung bietet keine kontoübergreifende regionsübergreifende Sichtbarkeit von Protokollen. Darüber hinaus unterstützt sie nicht das Erstellen von Alarmen für Metriken in anderen Konten oder Regionen innerhalb eines Überwachungskontos.

Aktivierung der kontoübergreifenden regionsübergreifenden Funktionalität in CloudWatch

Um kontoübergreifende regionsübergreifende Funktionen in Ihrer CloudWatch Konsole einzurichten, verwenden Sie die CloudWatch Konsole, um Ihre Freigabekonten und Überwachungskonten einzurichten.

Ein Freigabekonto einrichten

Sie müssen die Freigabe in jedem Konto aktivieren, das dem Überwachungskonto Daten zur Verfügung stellt.

Dadurch werden die in Schritt 5 ausgewählten Leseberechtigungen allen Benutzern gewährt, die in dem Konto, mit dem Sie das Konto teilen, ein kontoübergreifendes Dashboard aufrufen, sofern der Benutzer über entsprechende Berechtigungen in dem Konto verfügt, mit dem Sie das Konto teilen.

Freigeben für eine ganze Organisation

Wenn Sie das vorangegangene Verfahren ausführen, wird eine IAM-Rolle erstellt, mit der Ihr Konto Daten für ein Konto freigeben kann. Sie können eine IAM-Rolle erstellen oder bearbeiten, die Ihre Daten für alle Konten in einer Organisation freigibt. Tun Sie dies nur, wenn Sie alle Konten in der Organisation kennen und ihnen vertrauen.

Dadurch werden allen Benutzern, die in dem Konto, mit dem Sie das Konto teilen, ein kontoübergreifendes Dashboard anzeigen, die in den in Schritt 5 des vorherigen Verfahrens aufgeführten Richtlinien aufgeführten Leseberechtigungen gewährt, sofern der Benutzer über entsprechende Berechtigungen in dem Konto verfügt, mit dem Sie das Konto teilen.

Einrichten eines Überwachungskontos

Aktivieren Sie jedes Überwachungskonto, um kontoübergreifende CloudWatch Daten anzuzeigen. Sie können ein Überwachungskonto aktivieren, indem Sie die CloudWatch Amazon-Konsole oder die AWS Cloud Development Kit (AWS CDK) verwenden.

Nachdem Sie ein Überwachungskonto eingerichtet haben, können Sie kontoübergreifende Dashboards erstellen. Weitere Informationen finden Sie unter Ein CloudWatch benutzerdefiniertes Dashboard erstellen.

Aktivieren Sie ein Überwachungskonto mithilfe der Konsole

Wenn Sie das folgende Verfahren abschließen, CloudWatch erstellt eine Servicerolle, die im Überwachungskonto CloudWatch verwendet wird, um auf Daten zuzugreifen, die von Ihren anderen Konten gemeinsam genutzt wurden. Diese Servicerolle heißt ServiceRoleForCloudWatchCrossAccountV2.

Aktivieren Sie ein Überwachungskonto mithilfe des CDK

Sie können auch ein Überwachungskonto einrichten, ohne die Konsole zu verwenden. Definieren Sie die ServiceRoleForCloudWatchCrossAccountV2 Rolle als Infrastruktur als Code. Verwenden Sie diesen Ansatz, wenn Sie mehrere Überwachungskonten verwalten. Es verteilt die Rolle einheitlich auf alle. Im folgenden Beispiel wird die AWS CDK in verwendet TypeScript , um die Rolle mit der erforderlichen Vertrauensrichtlinie und einer integrierten Berechtigungsrichtlinie zu definieren:

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  path: '/service-role/',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

In diesem Beispiel wird eine Platzhalterressource verwendet, was den am wenigsten einschränkenden Bereich darstellt. Um das Überwachungskonto auf bestimmte Sharing-Konten oder eine Organisation zu beschränken, ändern Sie das resources Array. Sie können eine conditions Eigenschaft mit einer aws:ResourceOrgID Bedingung hinzufügen. Jeder Ansatz entspricht einer der integrierten Richtlinien im folgenden Abschnitt.

Um die Rolle für viele Konten gleichzeitig bereitzustellen, verwenden Sie die synthetisierte Vorlage mit CloudFormation StackSets. Ein Stack-Set erstellt die Rolle für mehrere Konten und Regionen in einem einzigen Vorgang. Ein Stack-Set verteilt die Rolle auch automatisch auf neue Konten, die Ihrer Organisation beitreten. Weitere Informationen CloudFormation StackSets dazu finden Sie unter Arbeiten mit CloudFormation StackSets im CloudFormation Benutzerhandbuch.

Umfang der Konten, auf die das Überwachungskonto zugreifen kann

Wenn Sie die Rolle mit dem AWS CDK definieren, gewährt die Inline-Berechtigungsrichtlinie die sts:AssumeRole Berechtigung. CloudWatch verwendet diese Berechtigung, um die CloudWatch-CrossAccountSharingRole in Ihren Sharing-Konten zu übernehmen. Um dem Prinzip der geringsten Rechte zu folgen, beschränke die Resource sts:AssumeRole Aktion auf die Konten, die das Überwachungskonto benötigt. Sie können den Zugriff auf folgende Arten einschränken, von den restriktivsten bis hin zu den am wenigsten restriktiven:

Cross-Region Funktionalität

Diese Funktion stellt Cross-Region Funktionen automatisch bereit. Sie müssen keine zusätzlichen Schritte unternehmen, um Metriken aus verschiedenen Regionen in einem einzigen Konto in derselben Grafik oder demselben Dashboard anzuzeigen. Cross-Region Die Funktionalität wird für Alarme nicht unterstützt. Sie können also keinen Alarm in einer Region erstellen, der eine Metrik in einer anderen Region überwacht.

(Optional) Integrieren mit AWS Organizations

Wenn Sie kontoübergreifende Funktionen in integrieren möchten AWS Organizations, müssen Sie den Überwachungskonten eine Liste aller Konten in der Organisation zur Verfügung stellen.

Problembehebung bei Ihrer CloudWatch kontoübergreifenden Einrichtung

Dieser Abschnitt enthält Tipps zur Fehlerbehebung bei der kontoübergreifenden Konsolenbereitstellung in CloudWatch.

Überwachung der Kontoberechtigungen für den kontoübergreifenden Zugriff

Um erfolgreich auf eine Aktion in Quellkonten zuzugreifen, muss der Benutzer im Überwachungskonto über die entsprechende Berechtigung für alle Ressourcen (*) für diese Aktion im Überwachungskonto verfügen. Dies ist eine lokale Berechtigungsanforderung im Überwachungskonto und hat nichts mit den Berechtigungen in der Rolle „Kontoübergreifende gemeinsame Nutzung“ in Quellkonten zu tun.

Beispiel

Um eine Logs-Abfrage in einem Quellkonto zu starten, müssen Sie StartQuery im Überwachungskonto über Platzhalterzugriff (*) verfügen. Die kontoübergreifende Rolle des Quellkontos kann den Zugriff auf bestimmte Protokollgruppen dennoch einschränken.

Unterstützt — Ressource mit Platzhaltern:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Nicht unterstützt — spezifischer ARN:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Deaktivieren und Bereinigen nach kontoübergreifender Verwendung

Gehen Sie wie folgt vor, um die kontoübergreifende Funktionalität für CloudWatch zu deaktivieren.

Schritt 1: Kontoübergreifende Stacks oder Rollen entfernen

Die beste Methode besteht darin, die CloudFormation Stacks zu entfernen, die zur Aktivierung der kontoübergreifenden Funktionalität verwendet wurden.

Wenn Sie die CloudFormation Stacks nicht verwendet haben, um die kontoübergreifende Funktionalität zu aktivieren, gehen Sie wie folgt vor:

Schritt 2: Entfernen Sie die Servicerolle

Löschen Sie im Überwachungskonto die ServiceRoleForCloudWatchCrossAccountV2 IAM-Servicerolle.