Consulta de datos de Inventory de varias regiones y cuentas

AWS Systems Manager Inventory se integra a Amazon Athena para ayudarlo a consultar los datos de inventario de varias Regiones de AWS y Cuentas de AWS. La integración de Athena utiliza la sincronización de datos de recursos, de modo que podrá visualizar los datos de inventario de todos los nodos administrados en la página Detail View (Vista de detalles) en la consola de AWS Systems Manager.

Puede ver los datos de inventario en la página Detailed View (Vista detallada) en todas las Regiones de AWS en las que Amazon Athena está disponible. Para ver una lista de las regiones admitidas, consulte Puntos de conexión de Amazon Athena en la Referencia general de Amazon Web Services.

Antes de empezar

La integración de Athena utiliza la sincronización de datos de recursos. Debe preparar y configurar la sincronización de datos de recursos para utilizar esta característica. Para obtener más información, consulte Explicación: utilizar la sincronización de datos de recursos para agregar datos de inventario.

Además, tenga en cuenta que la página Detailed View (Vista detallada) muestra los datos de inventario del propietario del bucket de Amazon S3 central que utiliza la sincronización de datos de recursos. Si no es el propietario del bucket de Amazon S3 central, no verá los datos de inventario en la página Detailed View (Vista detallada).

Configuración del acceso

Antes de que pueda consultar y visualizar los datos de varias cuentas y regiones en la página Vista detallada en la consola de Systems Manager, debe configurar su entidad de IAM con permiso para ver los datos.

Si los datos de inventario se almacenan en un bucket de Amazon S3 que utiliza cifrado de AWS Key Management Service (AWS KMS), también configure la entidad de IAM y el rol de servicio Amazon-GlueServiceRoleForSSM para el cifrado de AWS KMS.

Configuración de la entidad de IAM para acceder a la página Vista detallada

A continuación se describen los permisos mínimos necesarios para ver los datos del inventario en la página Vista Detallada.

La política administrada AWSQuicksightAthenaAccess

El siguiente PassRole y bloque de permisos necesarios adicionales

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGlue",
            "Effect": "Allow",
            "Action": [
                "glue:GetCrawler",
                "glue:GetCrawlers",
                "glue:GetTables",
                "glue:StartCrawler",
                "glue:CreateCrawler"
            ],
            "Resource": "*"
        },
        {
            "Sid": "iamPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "glue.amazonaws.com"
                }
            }
        },
        {
            "Sid": "iamRoleCreation",
           "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:iam::account_ID:role/*"
        },
        {
            "Sid": "iamPolicyCreation",
            "Effect": "Allow",
            "Action": "iam:CreatePolicy",
            "Resource": "arn:aws:iam::account_ID:policy/*"
        }
    ]
}

(Opcional) Si el bucket de Amazon S3 que se utiliza para almacenar datos de inventario está cifrado con AWS KMS, también agregue el siguiente bloque a la política.

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:Region:account_ID:key/key_ARN"
    ]
}

Para dar acceso, agregue permisos a los usuarios, grupos o roles:

(Opcional) Configuración de permisos para ver datos cifrados de AWS KMS

Si el bucket de Amazon S3 que se utiliza para almacenar datos de inventario está cifrado con AWS Key Management Service (AWS KMS), configure su entidad de IAM y el rol Amazon-GlueServiceRoleForSSM con permisos kms:Decrypt para la clave de AWS KMS.

Antes de empezar

Para proporcionar los permisos kms:Decrypt de la clave AWS KMS, agregue el siguiente bloque de políticas a su entidad de IAM:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:Region:account_ID:key/key_ARN"
    ]
}

Si aún no lo ha hecho, complete ese procedimiento y agregue los permisos de kms:Decrypt para la clave de AWS KMS.

Utilice el siguiente procedimiento para configurar el rol Amazon-GlueServiceRoleForSSM con los permisos de kms:Decrypt para la clave de AWS KMS.

Consulta de datos en la página Detailed Inventory View (Vista de inventario detallado)

Utilice el siguiente procedimiento para ver los datos de inventario de varias Regiones de AWS y Cuentas de AWS en la página Detailed View (Vista detallada) de Systems Manager Inventory.

Puede utilizar el botón Export to CSV (Exportar a CSV) para ver el conjunto de consultas actual en una aplicación de hoja de cálculo como Microsoft Excel. También puede utilizar los botones Query History (Historial de consultas) y Run Advanced Queries (Ejecutar consultas avanzadas) para ver detalles sobre el historial e interactuar con sus datos en Amazon Athena.

Edición de la programación del rastreador de AWS Glue

AWS Glue rastrea los datos de inventario en el bucket de Amazon S3 central dos veces al día y de forma predeterminada. Si cambia con frecuencia los tipos de datos que se recopilarán en los nodos, es posible que desee rastrear los datos con mayor frecuencia, tal y como se describe en el siguiente procedimiento.