Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Cross-account Regionsübergreifende Konsole CloudWatch

Mit der konto- und regionsübergreifenden CloudWatch Konsole können Sie ganz einfach zwischen verschiedenen Konten und Regionen wechseln, indem Sie mithilfe von Selektoren in der Konsole die Dashboards, Alarme und Metriken anderer Konten und Regionen einsehen. Mit dieser Funktion können Sie auch konto- und regionsübergreifende Dashboards erstellen, die Ihre CloudWatch Kennzahlen aus mehreren AWS Konten und mehreren Regionen in einem einzigen Dashboard zusammenfassen, sodass Sie darauf zugreifen können, ohne zwischen Konten oder Regionen wechseln zu müssen.

Viele Organisationen haben ihre AWS Ressourcen in mehreren Konten bereitgestellt, um Abrechnungs- und Sicherheitsgrenzen zu gewährleisten. In diesem Fall empfehlen wir Ihnen, eines oder mehrere Ihrer Konten als Ihre Überwachungskonten festzulegen und in diesen Konten Ihre kontoübergreifenden, regionsübergreifenden Dashboards zu erstellen. Cross-account Die regionsübergreifende Konsolenfunktion ist in integriert, damit Sie Ihre kontoübergreifenden AWS Organizations, regionsübergreifenden Dashboards effizient erstellen können.

Die konto- und regionsübergreifende CloudWatch Konsolenoberfläche bietet keine kontoübergreifende, regionsübergreifende Sichtbarkeit von Protokollen. Darüber hinaus unterstützt sie nicht das Erstellen von Alarmen für Metriken in anderen Konten oder Regionen innerhalb eines Überwachungskontos.

Aktivierung von konto- und regionsübergreifender Funktionalität in CloudWatch

Um kontoübergreifende regionsübergreifende Funktionen in Ihrer CloudWatch Konsole einzurichten, verwenden Sie die CloudWatch Konsole, um Ihre Sharing-Konten und Monitoring-Konten einzurichten.

Ein Freigabekonto einrichten

Sie müssen die Freigabe in jedem Konto aktivieren, das dem Überwachungskonto Daten zur Verfügung stellt.

Dadurch werden allen Benutzern, die in dem Konto, mit dem Sie Inhalte teilen, ein kontoübergreifendes Dashboard aufrufen, die in Schritt 5 ausgewählten Leseberechtigungen gewährt, sofern der Benutzer über entsprechende Berechtigungen in dem Konto verfügt, mit dem Sie Inhalte teilen.

Freigeben für eine ganze Organisation

Wenn Sie das vorangegangene Verfahren ausführen, wird eine IAM-Rolle erstellt, mit der Ihr Konto Daten für ein Konto freigeben kann. Sie können eine IAM-Rolle erstellen oder bearbeiten, die Ihre Daten für alle Konten in einer Organisation freigibt. Tun Sie dies nur, wenn Sie alle Konten in der Organisation kennen und ihnen vertrauen.

Dadurch werden allen Benutzern, die in dem Konto, mit dem Sie Inhalte teilen, ein kontoübergreifendes Dashboard aufrufen, die in den in Schritt 5 des vorherigen Verfahrens aufgeführten Richtlinien aufgeführten Leseberechtigungen gewährt, sofern der Benutzer über entsprechende Berechtigungen in dem Konto verfügt, mit dem Sie die Daten teilen.

Einrichten eines Überwachungskontos

Aktivieren Sie jedes Überwachungskonto, um kontoübergreifende CloudWatch Daten einzusehen. Sie können ein Überwachungskonto aktivieren, indem Sie die CloudWatch Amazon-Konsole oder die verwenden AWS Cloud Development Kit (AWS CDK).

Nachdem Sie ein Überwachungskonto eingerichtet haben, können Sie kontoübergreifende Dashboards erstellen. Weitere Informationen finden Sie unter Ein CloudWatch benutzerdefiniertes Dashboard erstellen.

Aktivieren Sie ein Überwachungskonto mithilfe der Konsole

Wenn Sie das folgende Verfahren ausführen, CloudWatch wird eine Servicerolle erstellt, die im Überwachungskonto auf Daten CloudWatch zugreift, die von Ihren anderen Konten gemeinsam genutzt wurden. Diese Servicerolle heißt ServiceRoleForCloudWatchCrossAccountV2.

Aktivieren Sie ein Überwachungskonto mithilfe des CDK

Sie können ein Überwachungskonto auch einrichten, ohne die Konsole zu verwenden. Definieren Sie die ServiceRoleForCloudWatchCrossAccountV2Rolle als Infrastruktur als Code. Verwenden Sie diesen Ansatz, wenn Sie mehrere Überwachungskonten verwalten. Dabei wird die Rolle einheitlich für alle bereitgestellt. Im folgenden Beispiel wird das AWS CDK in verwendet TypeScript , um die Rolle mit der erforderlichen Vertrauensrichtlinie und einer Inline-Berechtigungsrichtlinie zu definieren:

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

In diesem Beispiel wird eine Wildcard-Ressource verwendet, was den am wenigsten restriktiven Bereich darstellt. Um das Überwachungskonto auf bestimmte Freigabekonten oder auf eine Organisation zu beschränken, ändern Sie das resources Array. Sie können eine conditions Eigenschaft mit einer aws:ResourceOrgID Bedingung hinzufügen. Beide Methoden entsprechen einer der Inline-Richtlinien im folgenden Abschnitt.

Um die Rolle für viele Konten gleichzeitig bereitzustellen, verwenden Sie die synthetisierte Vorlage mit CloudFormation StackSets. Ein Stack-Set erstellt die Rolle in einem einzigen Vorgang für mehrere Konten und Regionen. Ein Stack-Set verteilt die Rolle außerdem automatisch auf neue Konten, die Ihrer Organisation beitreten. Weitere Informationen zu CloudFormation StackSets finden Sie unter Arbeiten mit CloudFormation StackSets im CloudFormation Benutzerhandbuch.

Umfang der Konten, auf die das Überwachungskonto zugreifen kann

Wenn Sie die Rolle mit dem AWS CDK definieren, erteilt sts:AssumeRole die Inline-Berechtigungsrichtlinie die entsprechenden Berechtigungen. CloudWatch verwendet diese Berechtigung, um das CloudWatch-CrossAccountSharingRolein Ihren Sharing-Konten anzunehmen. Um dem Prinzip der geringsten Rechte zu folgen, beschränken Sie die sts:AssumeRole Aktion auf die Konten, die das Überwachungskonto benötigt. Resource Sie können den Zugriff auf folgende Arten einschränken, von den restriktivsten bis hin zu den am wenigsten restriktiven:

Cross-Region Funktionalität

Diese Funktion stellt Cross-Region Funktionen automatisch bereit. Sie müssen keine zusätzlichen Schritte unternehmen, um Metriken aus verschiedenen Regionen in einem einzigen Konto in derselben Grafik oder demselben Dashboard anzuzeigen. Cross-Region Die Funktionalität wird für Alarme nicht unterstützt. Sie können also keinen Alarm in einer Region erstellen, der eine Metrik in einer anderen Region überwacht.

(Optional) Integrieren Sie mit AWS Organizations

Wenn Sie kontenübergreifende Funktionen in integrieren möchten AWS Organizations, müssen Sie den Überwachungskonten eine Liste aller Konten in der Organisation zur Verfügung stellen.

Problembehebung bei Ihrer CloudWatch kontoübergreifenden Einrichtung

Dieser Abschnitt enthält Tipps zur Fehlerbehebung bei der kontoübergreifenden Konsolenbereitstellung in CloudWatch.

Kontoberechtigungen für den kontoübergreifenden Zugriff überwachen

Um erfolgreich auf eine Aktion in Quellkonten zugreifen zu können, muss der Benutzer im Überwachungskonto über die entsprechenden Berechtigungen für alle Ressourcen (*) für diese Aktion im Überwachungskonto verfügen. Dabei handelt es sich um eine lokale Berechtigungsanforderung im Überwachungskonto, die nichts mit den Berechtigungen in der Rolle „Kontenübergreifende gemeinsame Nutzung“ in Quellkonten zu tun hat.

Beispiel

Um eine Log-Abfrage in einem Quellkonto zu starten, müssen Sie StartQuery im Überwachungskonto über Platzhalterrechte (*) verfügen. Die kontoübergreifende Rolle des Quellkontos kann den Zugriff auf bestimmte Protokollgruppen dennoch einschränken.

Unterstützt — Wildcard-Ressource:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Nicht unterstützt — spezifischer ARN:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Deaktivieren und Bereinigen nach kontoübergreifender Verwendung

Gehen Sie wie folgt vor, um die kontoübergreifende Funktionalität für CloudWatch zu deaktivieren.

Schritt 1: Kontoübergreifende Stacks oder Rollen entfernen

Die beste Methode besteht darin, die CloudFormation Stacks zu entfernen, die zur Aktivierung der kontenübergreifenden Funktionalität verwendet wurden.

Wenn Sie die CloudFormation Stacks nicht verwendet haben, um die kontenübergreifende Funktionalität zu aktivieren, gehen Sie wie folgt vor:

Schritt 2: Entfernen Sie die Servicerolle

Löschen Sie im Überwachungskonto die ServiceRoleForCloudWatchCrossAccountV2IAM-Dienstrolle.