CloudWatch Dashboards teilen

Sie können Ihre CloudWatch Dashboards mit Personen teilen, die keinen direkten Zugriff auf Ihre haben AWS Konto. Auf diese Weise können Sie Dashboards für Teams, für Stakeholder und für Personen außerhalb Ihrer Organisation freigeben. Sie können Dashboards sogar auf großen Bildschirmen in Teambereichen anzeigen oder in Wikis und anderen Webseiten einbetten.

Wenn Sie Dashboards freigeben, können Sie auf drei Arten festlegen, wer das Dashboard anzeigen kann:

Für die gemeinsame Nutzung eines Dashboards fallen keine Gebühren an, aber für Widgets innerhalb eines gemeinsamen Dashboards fallen Gebühren zu Standardtarifen an. CloudWatch Weitere Informationen zur CloudWatch Preisgestaltung finden Sie unter CloudWatch Amazon-Preise.

Wenn Sie ein Dashboard teilen, werden Amazon Cognito Cognito-Ressourcen in der Region USA Ost (Nord-Virginia) erstellt.

Für die Freigabe eines Dashboards erforderliche Berechtigungen

Um Dashboards mit einer der folgenden Methoden teilen zu können und um zu sehen, welche Dashboards bereits geteilt wurden, müssen Sie als Benutzer oder mit einer IAM Rolle angemeldet sein, die über bestimmte Berechtigungen verfügt.

Um Dashboards teilen zu können, muss Ihr Benutzer oder Ihre IAM Rolle die in der folgenden Richtlinienerklärung enthaltenen Berechtigungen enthalten:

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateRole",
        "iam:CreatePolicy",
        "iam:AttachRolePolicy",
        "iam:PassRole"
    ],
    "Resource": [
        "arn:aws:iam::*:role/service-role/CWDBSharing*",
        "arn:aws:iam::*:policy/*"
    ]
},
{
    "Effect": "Allow",
    "Action": [
        "cognito-idp:*",
        "cognito-identity:*",
    ],
    "Resource": [
        "*"
    ]
},
{
    "Effect": "Allow",
    "Action": [
        "cloudwatch:GetDashboard",
    ],
    "Resource": [
        "*"
        // or the ARNs of dashboards that you want to share
    ]
}

Um zu sehen, welche Dashboards geteilt werden, aber keine Dashboards teilen zu können, kann ein Benutzer oder eine IAM Rolle eine Richtlinienerklärung enthalten, die der folgenden ähnelt:

{
    "Effect": "Allow",
    "Action": [
        "cognito-idp:*",
        "cognito-identity:*"
    ],
    "Resource": [
        "*"
    ]
},
{
    "Effect": "Allow",
    "Action": [
        "cloudwatch:ListDashboards",
    ],
    "Resource": [
        "*" 
    ]
}

Berechtigungen, die Personen erteilt werden, für die Sie das Dashboard freigeben

Wenn Sie ein Dashboard teilen, CloudWatch wird im Konto eine IAM Rolle erstellt, die den Personen, mit denen Sie das Dashboard teilen, die folgenden Berechtigungen gewährt:

Wenn Sie ein Dashboard teilen, beschränken die CloudWatch erstellten Berechtigungen standardmäßig nur den Zugriff auf die Alarme und Contributor Insights-Regeln, die sich auf dem Dashboard befinden, wenn es geteilt wird. Wenn Sie dem Dashboard neue Alarme oder Contributor-Insights-Regeln hinzufügen und diese auch von den Personen angezeigt werden sollen, für die Sie das Dashboard freigegeben haben, müssen Sie die Richtlinie aktualisieren, um diese Ressourcen zuzulassen.

Zulassen, dass Personen, mit denen Sie Inhalte teilen, zusammengesetzte Alarme sehen

Wenn Sie ein Dashboard freigeben, sind die zusammengesetzten Alarm-Widgets auf dem Dashboard standardmäßig nicht für die Personen sichtbar, für die Sie das Dashboard freigeben. Damit zusammengesetzte Alarm-Widgets sichtbar sind, müssen Sie der Dashboard-Freigaberichtlinie eine DescribeAlarms: *-Berechtigung hinzufügen. Diese Berechtigung würde wie folgt aussehen:

{
    "Effect": "Allow",
    "Action": "cloudwatch:DescribeAlarms",
    "Resource": "*"
}

{
    "Effect": "Allow",
    "Action": "cloudwatch:DescribeAlarms",
    "Resource": "*"
},
{   
    "Effect": "Deny",
    "Action": "cloudwatch:DescribeAlarms",
    "Resource": [
        "SensitiveAlarm1ARN",
        "SensitiveAlarm1ARN"
    ]
}

Zulassen von Benutzern, für die Sie freigeben, zum Anzeigen von Protokolltabellenwidgets

Wenn Sie ein Dashboard teilen, sind die CloudWatch Logs Insights-Widgets, die sich auf dem Dashboard befinden, standardmäßig nicht für die Personen sichtbar, mit denen Sie das Dashboard teilen. Dies wirkt sich sowohl auf CloudWatch Logs Insights-Widgets aus, die jetzt existieren, als auch auf alle Widgets, die dem Dashboard hinzugefügt werden, nachdem Sie es geteilt haben.

Wenn Sie möchten, dass diese Personen CloudWatch Logs-Widgets sehen können, müssen Sie der IAM Rolle Berechtigungen für die gemeinsame Nutzung von Dashboards hinzufügen.

Wenn Ihre IAM Richtlinie für die gemeinsame Nutzung von Dashboards bereits diese fünf Berechtigungen * als Ressource beinhaltet, empfehlen wir Ihnen dringend, die Richtlinie zu ändern und nur die ARNs Protokollgruppen anzugeben, die Sie gemeinsam nutzen möchten. Wenn Ihr Resource-Abschnitt für diese Berechtigungen beispielsweise wie folgt lautet:

"Resource": "*"

Ändern Sie die Richtlinie so, dass nur ARNs die Protokollgruppen angegeben werden, die Sie gemeinsam nutzen möchten, wie im folgenden Beispiel:

"Resource": [
  "SharedLogGroup1ARN",
  "SharedLogGroup2ARN"
]

Erlauben von Benutzern, für die Sie freigeben, dass benutzerdefinierte Widgets angezeigt werden

Wenn Sie ein Dashboard freigeben, sind die benutzerdefinierten Widgets, die sich auf dem Dashboard befinden, standardmäßig für die Personen, für die Sie das Dashboard freigeben, nicht sichtbar. Dies betrifft sowohl benutzerdefinierte Widgets, die jetzt vorhanden sind, als auch alle, die dem Dashboard hinzugefügt werden, nachdem Sie es freigegeben haben.

Wenn Sie möchten, dass diese Personen benutzerdefinierte Widgets sehen können, müssen Sie der IAM Rolle für das Teilen von Dashboards Berechtigungen hinzufügen.

Wenn Ihre IAM Richtlinie für die gemeinsame Nutzung von Dashboards diese Berechtigung bereits * als Ressource beinhaltet, empfehlen wir Ihnen dringend, die Richtlinie zu ändern und nur die ARNs Lambda-Funktionen anzugeben, die Sie gemeinsam nutzen möchten. Wenn Ihr Resource-Abschnitt für diese Berechtigungen beispielsweise wie folgt lautet:

"Resource": "*"

Ändern Sie die Richtlinie so, dass nur ARNs die benutzerdefinierten Widgets angegeben werden, die Sie teilen möchten, wie im folgenden Beispiel:

"Resource": [
  "LambdaFunction1ARN",
  "LambdaFunction2ARN"
]