View a markdown version of this page

CloudWatch préférence en matière d'informations d'identification - Amazon CloudWatch

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

CloudWatch préférence en matière d'informations d'identification

Cette section décrit la chaîne de fournisseurs d'informations d'identification que l' CloudWatch agent utilise pour obtenir des informations d'identification lorsqu'il communique avec d'autres AWS services et API. L’ordre de priorité est le suivant :

Note

Les préférences répertoriées dans les numéros deux à cinq suivent le même ordre de préférence que celui défini dans le AWS SDK. Pour plus d’informations, consultez Spécification des informations d’identification dans la documentation du kit SDK.

  1. Fichiers de configuration et d'informations d'identification partagés tels que définis dans le common-config.toml fichier de l' CloudWatch agent. Pour de plus amples informations, veuillez consulter Installez l' CloudWatch agent à l'aide de AWS Systems Manager.

  2. AWS Variables d'environnement du SDK

    Important

    Sous Linux, si vous exécutez l' CloudWatch agent à l'aide du amazon-cloudwatch-agent-ctl script, celui-ci démarre l'agent en tant que systemd service. Dans ce cas, les variables d’environnement telles que HOME, AWS_ACCESS_KEY_ID et AWS_SECRET_ACCESS_KEY ne sont pas accessibles par l’agent.

  3. Fichiers de configuration et d’informations d’identification partagés trouvés dans $HOME/%USERPROFILE%

    Note

    L' CloudWatch agent recherche .aws/credentials des informations $HOME sur Linux et macOS et %USERPROFILE% sur Windows. Ces variables d'environnement sont résolues vers le répertoire personnel de l'utilisateur sous lequel l'agent s'exécute : root sous Linux et macOS (ou le run_as_user cas échéant), et LocalSystem sous Windows.

    Contrairement au AWS SDK, l' CloudWatch agent ne dispose pas de méthodes de secours pour déterminer le répertoire personnel si les variables d'environnement ne sont pas accessibles. Cette différence de comportement permet de préserver la compatibilité ascendante avec les implémentations antérieures du kit SDK  AWS .

    En outre, contrairement aux informations d'identification partagées présentes danscommon-config.toml, si les informations d'identification AWS SDK-derived partagées expirent et font l'objet d'une rotation, les informations d'identification renouvelées ne sont pas automatiquement récupérées par l' CloudWatch agent et nécessitent un redémarrage de l'agent pour le faire.

  4. Un Gestion des identités et des accès AWS rôle pour les tâches si une application est présente qui utilise une définition de tâche Amazon Elastic Container Service ou une opération d' RunTask API.

  5. Un profil d'instance IAM attaché à une instance Amazon EC2

Il est recommandé de spécifier les informations d'identification dans l'ordre suivant lorsque vous utilisez l' CloudWatch agent.

  1. Utilisez les rôles IAM pour les tâches si votre application utilise une définition de tâche Amazon Elastic Container Service ou une opération d' RunTask API.

  2. Utilisez des rôles IAM si votre application s’exécute sur une instance  Amazon EC2.

  3. Utilisez le common-config.toml fichier CloudWatch d'agent pour spécifier le fichier d'informations d'identification. Ce fichier d'informations d'identification est le même que celui utilisé par les autres AWS SDK et le AWS CLI. Si vous utilisez déjà un fichier d'informations d'identification partagé, vous pouvez également l'utiliser à cette fin. Si vous les fournissez à l'aide du common-config.toml fichier de l' CloudWatch agent, vous vous assurez que celui-ci utilisera les informations d'identification modifiées lorsqu'elles expireront et seront remplacées sans que vous ayez à redémarrer l'agent.

  4. Utiliser des variables d’environnement. La définition de variables d'environnement est utile si vous effectuez des travaux de développement sur un ordinateur autre qu'une instance Amazon EC2.

Note

Si vous envoyez des données télémétriques à un autre compte, comme expliqué dansEnvoi de métriques, de journaux et de traces à un autre compte, l' CloudWatch agent utilise la chaîne de fournisseurs d'informations d'identification décrite dans cette section pour obtenir le jeu initial d'informations d'identification. Il utilise ensuite ces informations d'identification lorsqu'il assume le rôle IAM spécifié role_arn dans le fichier de configuration de l' CloudWatch agent.