Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Cross-account Console interrégionale CloudWatch

La CloudWatch console multi-comptes et inter-régions vous permet de passer facilement d'un compte à l'autre et d'une région à l'autre en utilisant les sélecteurs de la console pour afficher les tableaux de bord, les alarmes et les statistiques des autres comptes et régions. Cette fonctionnalité vous permet également de créer des tableaux de bord inter-comptes et interrégionaux qui résument les CloudWatch statistiques de plusieurs AWS comptes et de plusieurs régions en un seul tableau de bord, les rendant accessibles sans avoir à changer de compte ou de région.

De nombreuses entreprises déploient leurs AWS ressources sur plusieurs comptes, afin de définir des limites de facturation et de sécurité. Dans ce cas, nous vous recommandons de désigner un ou plusieurs de vos comptes comme comptes de surveillance et de créer vos tableaux de bord inter-comptes interrégionaux dans ces comptes. Cross-account La fonctionnalité de console interrégionale est intégrée pour vous aider à créer efficacement vos tableaux de bord interrégionaux entre comptes. AWS Organizations

L'expérience de CloudWatch console entre comptes et entre régions ne fournit pas de visibilité entre comptes et entre régions pour les journaux. De plus, elle ne prend pas en charge la création d’alarmes sur les métriques d’autres comptes ou régions à partir d’un compte de surveillance.

Activation de la fonctionnalité entre comptes et entre régions dans CloudWatch

Pour configurer la fonctionnalité inter-comptes inter-régions dans votre CloudWatch console, utilisez la CloudWatch console pour configurer vos comptes de partage et vos comptes de surveillance.

Configuration d'un compte de partage

Vous devez activer le partage dans chaque compte qui mettra les données à la disposition du compte de surveillance.

Cela accorde les autorisations en lecture seule que vous avez choisies à l'étape 5 à tous les utilisateurs qui consultent un tableau de bord multicompte dans le compte avec lequel vous partagez, si l'utilisateur dispose des autorisations correspondantes dans le compte avec lequel vous partagez.

Partage avec une organisation entière

L'exécution de la procédure précédente crée un rôle IAM qui permet à votre compte de partager des données avec un seul compte. Vous pouvez créer ou modifier un rôle IAM qui partage vos données avec tous les comptes d'une organisation. Faites-le uniquement si vous connaissez et faites confiance à tous les comptes de l'organisation.

Cela accorde les autorisations en lecture seule répertoriées dans les politiques présentées à l'étape 5 de la procédure précédente à tous les utilisateurs qui consultent un tableau de bord multicompte dans le compte avec lequel vous partagez, si l'utilisateur dispose des autorisations correspondantes dans le compte avec lequel vous partagez.

Configuration d'un compte de surveillance

Activez chaque compte de surveillance pour afficher les CloudWatch données entre comptes. Vous pouvez activer un compte de surveillance à l'aide de la CloudWatch console Amazon ou du Cloud Development Kit AWS (AWS CDK).

Après avoir configuré un compte de surveillance, vous pouvez créer des tableaux de bord entre comptes. Pour de plus amples informations, veuillez consulter Création d'un tableau de CloudWatch bord personnalisé.

Activer un compte de surveillance à l'aide de la console

Lorsque vous avez terminé la procédure suivante, CloudWatch crée un rôle de service qui est CloudWatch utilisé dans le compte de surveillance pour accéder aux données partagées depuis vos autres comptes. Ce rôle de service s'appelle ServiceRoleForCloudWatchCrossAccountV2.

Activez un compte de surveillance à l'aide du CDK

Vous pouvez également configurer un compte de surveillance sans utiliser la console. Définissez le ServiceRoleForCloudWatchCrossAccountV2rôle en tant qu'infrastructure en tant que code. Utilisez cette approche lorsque vous gérez plusieurs comptes de surveillance. Il déploie le rôle de manière cohérente dans chacun d'entre eux. L'exemple suivant utilise le AWS CDK in TypeScript pour définir le rôle avec la politique de confiance requise et une politique d'autorisations intégrée :

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

Cet exemple utilise une ressource générique, dont la portée est la moins restrictive. Pour restreindre le compte de surveillance à des comptes de partage spécifiques ou à une organisation, modifiez le resources tableau. Vous pouvez ajouter une conditions propriété assortie d'une aws:ResourceOrgID condition. L'une ou l'autre approche correspond à l'une des politiques intégrées décrites dans la section suivante.

Pour déployer le rôle sur plusieurs comptes à la fois, utilisez le modèle synthétisé avec CloudFormation StackSets. Un ensemble de piles crée le rôle sur plusieurs comptes et régions en une seule opération. Un stack set déploie également automatiquement le rôle sur les nouveaux comptes qui rejoignent votre organisation. Pour plus d'informations à ce sujet CloudFormation StackSets, consultez la section Travailler avec CloudFormation StackSets dans le guide de CloudFormation l'utilisateur.

Étendue des comptes auxquels le compte de surveillance peut accéder

Lorsque vous définissez le rôle avec le AWS CDK, la politique d'autorisation intégrée accorde sts:AssumeRole l'autorisation. CloudWatch utilise cette autorisation pour assumer le rôle CloudWatch-CrossAccountSharingRoledans vos comptes de partage. Pour respecter le principe du moindre privilège, limitez Resource l'sts:AssumeRoleaction aux seuls comptes dont le compte de surveillance a besoin. Vous pouvez définir l'accès de la manière suivante, de la plus restrictive à la moins restrictive :

Cross-Region fonctionnalité

Cette fonctionnalité fournit des Cross-Region fonctionnalités automatiquement. Vous n'avez pas besoin de prendre de mesures supplémentaires pour afficher les statistiques de différentes régions dans un seul compte sur le même graphique ou le même tableau de bord. Cross-Region la fonctionnalité n'étant pas prise en charge pour les alarmes, vous ne pouvez pas créer une alarme dans une région qui surveille une métrique dans une autre région.

(Facultatif) Intégrer avec AWS Organizations

Si vous souhaitez intégrer la fonctionnalité multi-comptes AWS Organizations, vous devez créer une liste de tous les comptes de l'organisation accessibles aux comptes de surveillance.

Résolution des problèmes liés à la CloudWatch configuration de plusieurs comptes

Cette section contient des conseils de résolution des problèmes pour le déploiement de la console entre comptes dans CloudWatch.

Surveillance des autorisations de compte pour l'accès entre comptes

Pour accéder à une action dans les comptes source avec succès, l'utilisateur du compte de surveillance doit disposer des autorisations équivalentes pour toutes les ressources (*) pour cette action dans le compte de surveillance. Il s'agit d'une exigence d'autorisation locale dans le compte de surveillance et n'est pas liée aux autorisations relatives au rôle de partage entre comptes dans les comptes sources.

Exemple

Pour lancer une requête Logs dans un compte source, vous devez disposer d'un accès générique (*) StartQuery au compte de surveillance. Le rôle multicompte du compte source peut toujours restreindre l'accès à des groupes de journaux spécifiques.

Supporté - ressource joker :

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Non pris en charge - ARN spécifique :

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Désactivation et nettoyage après l'utilisation de la fonctionnalité entre comptes

Pour désactiver la fonctionnalité multi-comptes pour CloudWatch, procédez comme suit.

Étape 1 : supprimer les piles ou les rôles entre comptes

La meilleure méthode consiste à supprimer les CloudFormation piles utilisées pour activer la fonctionnalité multi-comptes.

Si vous n'avez pas utilisé les CloudFormation piles pour activer la fonctionnalité multi-comptes, procédez comme suit :

Étape 2 : supprimer le rôle de service

Dans le compte de surveillance, supprimez le rôle de service ServiceRoleForCloudWatchCrossAccountV2IAM.