Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Cross-account Console interrégionale CloudWatch

La CloudWatch console multicompte et interrégion vous permet de passer facilement d'un compte à l'autre et d'une région à l'autre en utilisant les sélecteurs de la console pour afficher les tableaux de bord, les alarmes et les statistiques des autres comptes et régions. Cette fonctionnalité vous permet également de créer des tableaux de bord intercomptes et interrégions qui résument les CloudWatch statistiques de plusieurs AWS comptes et de plusieurs régions dans un seul tableau de bord, les rendant ainsi accessibles sans avoir à changer de compte ou de région.

De nombreuses organisations déploient leurs AWS ressources sur plusieurs comptes, afin de définir des limites de facturation et de sécurité. Dans ce cas, vous devez désigner un ou plusieurs de vos comptes comme comptes de surveillance et créer vos tableaux de bord intercomptes interrégionaux dans ces comptes. Cross-account La fonctionnalité de console interrégionale est intégrée à AWS Organizations, pour vous aider à créer efficacement vos tableaux de bord intercomptes interrégionaux.

L'expérience de CloudWatch console multicompte et interrégionale ne fournit pas de visibilité interrégionale pour les journaux. De plus, elle ne prend pas en charge la création d’alarmes sur les métriques d’autres comptes ou régions à partir d’un compte de surveillance.

Activation de la fonctionnalité inter-comptes entre régions dans CloudWatch

Pour configurer la fonctionnalité inter-comptes entre régions dans votre CloudWatch console, utilisez la CloudWatch console pour configurer vos comptes de partage et vos comptes de surveillance.

Configuration d'un compte de partage

Vous devez activer le partage dans chaque compte qui mettra les données à la disposition du compte de surveillance.

Cela accorde les autorisations de lecture seule que vous avez choisies à l'étape 5 à tous les utilisateurs qui consultent un tableau de bord multicompte dans le compte avec lequel vous partagez, si l'utilisateur dispose des autorisations correspondantes sur le compte avec lequel vous partagez.

Partage avec une organisation entière

L'exécution de la procédure précédente crée un rôle IAM qui permet à votre compte de partager des données avec un seul compte. Vous pouvez créer ou modifier un rôle IAM qui partage vos données avec tous les comptes d'une organisation. Faites-le uniquement si vous connaissez et faites confiance à tous les comptes de l'organisation.

Cela accorde les autorisations en lecture seule répertoriées dans les politiques présentées à l'étape 5 de la procédure précédente à tous les utilisateurs qui consultent un tableau de bord multicompte dans le compte avec lequel vous partagez, si l'utilisateur dispose des autorisations correspondantes sur le compte avec lequel vous partagez.

Configuration d'un compte de surveillance

Activez chaque compte de surveillance pour afficher les CloudWatch données intercomptes. Vous pouvez activer un compte de surveillance à l'aide de la CloudWatch console Amazon ou du Cloud Development Kit AWS (AWS CDK).

Après avoir configuré un compte de surveillance, vous pouvez créer des tableaux de bord intercomptes. Pour de plus amples informations, veuillez consulter Création d'un tableau de CloudWatch bord personnalisé.

Activer un compte de surveillance à l'aide de la console

Lorsque vous terminez la procédure suivante, CloudWatch créez un rôle de service à CloudWatch utiliser dans le compte de surveillance pour accéder aux données partagées depuis vos autres comptes. Ce rôle de service est appelé ServiceRoleForCloudWatchCrossAccountV2.

Activez un compte de surveillance à l'aide du CDK

Vous pouvez également configurer un compte de surveillance sans utiliser la console. Définissez le ServiceRoleForCloudWatchCrossAccountV2 rôle en tant qu'infrastructure en tant que code. Utilisez cette approche lorsque vous gérez plusieurs comptes de surveillance. Il déploie le rôle de manière cohérente dans chacun d'entre eux. L'exemple suivant utilise le AWS CDK in TypeScript pour définir le rôle avec la politique de confiance requise et une politique d'autorisations en ligne :

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  path: '/service-role/',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

Cet exemple utilise une ressource générique, qui est la portée la moins restrictive. Pour limiter le compte de surveillance à des comptes de partage spécifiques ou à une organisation, modifiez le resources tableau. Vous pouvez ajouter une conditions propriété avec une aws:ResourceOrgID condition. L'une ou l'autre approche correspond à l'une des politiques en ligne décrites dans la section suivante.

Pour déployer le rôle sur plusieurs comptes à la fois, utilisez le modèle synthétisé avec CloudFormation StackSets. Un ensemble de tâches permet de créer le rôle sur plusieurs comptes et régions en une seule opération. Un stack set déploie également automatiquement le rôle sur les nouveaux comptes qui rejoignent votre organisation. Pour plus d'informations à ce sujet CloudFormation StackSets, consultez la section CloudFormation StackSets Utilisation du Guide de CloudFormation l'utilisateur.

Étendue des comptes auxquels le compte de surveillance peut accéder

Lorsque vous définissez le rôle à l'aide du AWS CDK, la politique d'autorisations en ligne accorde sts:AssumeRole l'autorisation. CloudWatch utilise cette autorisation pour les assumer CloudWatch-CrossAccountSharingRole dans vos comptes de partage. Pour respecter le principe du moindre privilège, limitez Resource l'sts:AssumeRoleaction aux seuls comptes dont le compte de surveillance a besoin. Vous pouvez définir l'accès des manières suivantes, de la plus restrictive à la moins restrictive :

Cross-Region fonctionnalité

Cette fonctionnalité fournit automatiquement des Cross-Region fonctionnalités. Il n'est pas nécessaire de prendre des mesures supplémentaires pour afficher les statistiques de différentes régions sur un seul compte sur le même graphique ou le même tableau de bord. Cross-Region cette fonctionnalité n'est pas prise en charge pour les alarmes, vous ne pouvez donc pas créer d'alarme dans une région qui surveille une métrique dans une autre région.

(Facultatif) Intégrer avec AWS Organizations

Si vous souhaitez intégrer des fonctionnalités multicomptes à AWS Organizations, vous devez mettre une liste de tous les comptes de l'organisation à la disposition des comptes de surveillance.

Résolution des problèmes liés à la CloudWatch configuration de plusieurs comptes

Cette section contient des conseils de résolution des problèmes pour le déploiement de la console entre comptes dans CloudWatch.

Surveillance des autorisations des comptes pour l'accès entre comptes

Pour accéder correctement à une action dans les comptes sources, l'utilisateur du compte de surveillance doit disposer de l'autorisation équivalente pour toutes les ressources (*) pour cette action dans le compte de surveillance. Il s'agit d'une exigence d'autorisation locale dans le compte de surveillance qui n'est pas liée aux autorisations du rôle de partage entre comptes dans les comptes sources.

Exemple

Pour lancer une requête Logs dans un compte source, vous devez disposer d'un accès par caractère générique (*) StartQuery dans le compte de surveillance. Le rôle multicompte du compte source peut toujours restreindre l'accès à des groupes de journaux spécifiques.

Pris en charge : ressource générique :

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Non pris en charge - ARN spécifique :

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Désactivation et nettoyage après l'utilisation de la fonctionnalité entre comptes

Pour désactiver la fonctionnalité multi-comptes pour CloudWatch, procédez comme suit.

Étape 1 : supprimer les piles ou les rôles entre comptes

La meilleure méthode consiste à supprimer les CloudFormation piles qui ont été utilisées pour activer la fonctionnalité multi-comptes.

Si vous n'avez pas utilisé les CloudFormation piles pour activer la fonctionnalité multi-comptes, procédez comme suit :

Étape 2 : supprimer le rôle de service

Dans le compte de surveillance, supprimez le rôle de service ServiceRoleForCloudWatchCrossAccountV2 IAM.