Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation CloudWatch, CloudWatch synthèse et surveillance du CloudWatch réseau avec interface VPC endpoints

Si vous utilisez Amazon Virtual Private Cloud (Amazon VPC) pour héberger vos AWS ressources, vous pouvez établir une connexion privée entre vos fonctionnalités VPC CloudWatch, CloudWatch Synthetics et CloudWatch Network Monitoring. Vous pouvez utiliser ces connexions pour permettre à ces services de communiquer avec les ressources de votre VPC sans passer par l’Internet public.

Amazon VPC est un AWS service que vous pouvez utiliser pour lancer AWS des ressources dans un réseau virtuel que vous définissez. Avec un VPC, vous contrôlez des paramètres réseau, tels que la plage d’adresses IP, les sous-réseaux, les tables de routage et les passerelles réseau. Pour connecter votre VPC aux CloudWatch services, vous définissez un point de terminaison VPC d'interface pour votre VPC. Le terminal fournit une connectivité fiable CloudWatch et évolutive aux CloudWatch services pris en charge sans nécessiter de passerelle Internet, d'instance de traduction d'adresses réseau (NAT) ou de connexion VPN. Pour de plus amples informations, consultez Qu'est-ce qu'Amazon VPC ? dans le Guide de l'utilisateur Amazon VPC.

Interface Les terminaux VPC sont alimentés par AWS PrivateLink une AWS technologie qui permet une communication privée entre les AWS services à l'aide d'une interface réseau élastique avec des adresses IP privées. Pour plus d'informations, consultez le billet de blog suivant : Nouveau — AWS PrivateLink pour les AWS services

Les étapes suivantes s'adressent aux utilisateurs d'Amazon VPC. Pour plus d'informations, consultez Démarrez dans le Amazon VPC Guide de l'utilisateur.

CloudWatch Points de terminaison VPC

CloudWatch prend actuellement en charge les points de terminaison VPC, y compris IPv6-only les points de terminaison compatibles Dual Stack, dans toutes les AWS régions, y compris les régions AWS GovCloud (États-Unis). Pour plus d'informations sur l'URL des points de terminaison, consultez la section CloudWatch Points de terminaison et quotas.

Création d'un point de terminaison VPC pour CloudWatch

Pour commencer à l'utiliser CloudWatch avec votre VPC, créez une interface pour laquelle le point de terminaison VPC. CloudWatch Le nom du service à choisir est com.amazonaws.region.monitoring. Pour plus d’informations, consultez Création d’un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Il n'est pas nécessaire de modifier les paramètres pour CloudWatch. CloudWatch appelle d'autres AWS services à l'aide de points de terminaison publics ou de points de terminaison VPC à interface privée, selon le type utilisé. Par exemple, si vous créez une interface pour CloudWatch laquelle vous avez créé un point de terminaison VPC et que vous disposez déjà de métriques en CloudWatch provenance de ressources situées sur votre VPC, ces métriques commencent à circuler via le point de terminaison du VPC d'interface par défaut.

Contrôler l'accès à votre CloudWatch terminal VPC

Une stratégie de point de terminaison d’un VPC est une stratégie de ressource IAM que vous attachez à un point de terminaison lorsque vous le créez ou le modifiez. Si vous n’attachez pas de stratégie quand vous créez un point de terminaison, Amazon VPC attache une stratégie par défaut pour vous qui autorise un accès total au service. Une stratégie de point de terminaison n'annule pas et ne remplace pas les stratégies utilisateur ou les stratégies propres au service. Il s'agit d'une politique distincte qui contrôle l'accès depuis le point de terminaison jusqu'au service spécifié.

Les politiques de point de terminaison doivent être écrites au format JSON.

Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

Voici un exemple de politique relative aux terminaux pour CloudWatch. Cette politique permet aux utilisateurs qui se connectent CloudWatch via le VPC d'envoyer des données métriques CloudWatch et les empêche d'effectuer d'autres CloudWatch actions.

{
  "Statement": [
    {
      "Sid": "PutOnly",
      "Principal": "*",
      "Action": [
        "cloudwatch:PutMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

CloudWatch Point de terminaison en PVC synthétique

CloudWatch Synthetics prend actuellement en charge les terminaux VPC dans les régions suivantes : AWS

Création d'un point de terminaison VPC pour Synthetics CloudWatch

Pour commencer à utiliser CloudWatch Synthetics avec votre VPC, créez une interface VPC endpoint pour Synthetics. CloudWatch Le nom du service à choisir est com.amazonaws.region.synthetics. Pour plus d’informations, consultez Création d’un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Il n'est pas nécessaire de modifier les paramètres de CloudWatch Synthetics. CloudWatch Synthetics communique avec d'autres AWS services via des points de terminaison publics ou des points de terminaison VPC à interface privée, selon le type utilisé. Par exemple, si vous créez un point de terminaison VPC d'interface pour CloudWatch Synthetics et que vous possédez déjà un point de terminaison d'interface pour Amazon S3, CloudWatch Synthetics commence à communiquer avec Amazon S3 via le point de terminaison VPC d'interface par défaut.

Contrôler l'accès à votre terminal CloudWatch Synthetics VPC

Une stratégie de point de terminaison d’un VPC est une stratégie de ressource IAM que vous attachez à un point de terminaison lorsque vous le créez ou le modifiez. Si vous ne joignez aucune politique lorsque vous créez un point de terminaison, une politique par défaut est jointe qui permet un accès complet au service. Une stratégie de point de terminaison n'annule pas et ne remplace pas les stratégies utilisateur ou les stratégies propres au service. Il s’agit d’une politique distincte qui contrôle l’accès depuis le point de terminaison jusqu’au service spécifié.

Les stratégies de point de terminaison affectent les Canary gérés en privé par VPC. Ils ne sont pas nécessaires pour les Canary qui fonctionnent sur des sous-réseaux privés.

Les politiques de point de terminaison doivent être écrites au format JSON.

Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

Voici un exemple de politique relative aux terminaux pour CloudWatch Synthetics. Cette politique permet aux utilisateurs qui se connectent à CloudWatch Synthetics via le VPC de consulter des informations sur les canaris et leurs exécutions, mais pas de créer, modifier ou supprimer des canaris.

{
    "Statement": [
        {
            "Action": [
                "synthetics:DescribeCanaries",
                "synthetics:GetCanaryRuns"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}

CloudWatch Fonction de surveillance du réseau : points de terminaison VPC

CloudWatch La surveillance du réseau inclut les fonctionnalités suivantes : moniteur de flux réseau, moniteur Internet et moniteur synthétique réseau. Ces fonctionnalités prennent chacune en charge les points de terminaison VPC dans les AWS régions où la fonctionnalité de surveillance du réseau est prise en charge.

Pour consulter la liste des régions prises en charge pour chaque fonctionnalité de surveillance du réseau, veuillez vous reporter aux rubriques suivantes :

Création d'un point de terminaison VPC pour une fonctionnalité de surveillance CloudWatch du réseau

Pour commencer à utiliser les fonctionnalités de surveillance CloudWatch réseau avec votre VPC, créez un point de terminaison VPC d'interface pour la fonctionnalité que vous souhaitez utiliser. Pour la surveillance du réseau, les noms de service suivants sont disponibles :

Pour plus d’informations, consultez Création d’un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Vous n’avez pas besoin de modifier les paramètres des services de surveillance du réseau. Les services de surveillance du réseau communiquent avec d'autres AWS services via des points de terminaison publics ou des points de terminaison VPC à interface privée, selon le cas. Par exemple, si vous créez un point de terminaison d’un VPC d’interface pour un service de surveillance du réseau et que vous disposez déjà de métriques provenant de ressources situées sur votre VPC, les métriques commencent à transiter par le point de terminaison d’un VPC d’interface par défaut.

Contrôle de l'accès aux terminaux VPC de votre fonctionnalité de surveillance CloudWatch réseau

Une stratégie de point de terminaison d’un VPC est une stratégie de ressource IAM que vous attachez à un point de terminaison lorsque vous le créez ou le modifiez. Une stratégie de point de terminaison n'annule pas et ne remplace pas les stratégies utilisateur ou les stratégies propres au service. Il s’agit d’une politique distincte qui contrôle l’accès depuis le point de terminaison jusqu’au service spécifié.

Si vous n’associez pas de politique lors de la création d’un point de terminaison, Amazon VPC associe pour vous une politique par défaut qui autorise un accès complet et ne restreint pas l’accès à un service spécifique. Pour plus de sécurité, vous pouvez associer une politique au point de terminaison afin de limiter spécifiquement l’accès à la fonctionnalité. Par exemple, pour Internet Monitor, vous pouvez autoriser l'accès complet à Internet Monitor uniquement en joignant la politique AWS gérée qui permet un accès complet à la fonctionnalité CloudWatchInternetMonitorFullAccess. Vous pouvez également limiter davantage les autorisations à des actions spécifiques pour le point de terminaison.

Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

Voici un exemple de politique de point de terminaison que vous pouvez créer pour Network Flow Monitor afin de limiter les actions pour le point de terminaison. Cette politique autorise les requêtes adressées à Network Flow Monitor via le VPC à utiliser uniquement l’action Publish, qui permet aux requêtes de publier des métriques vers l’ingestion dorsal de Network Flow Monitor.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "networkflowmonitor:Publish",
            "Resource": "*"
        }
    ]
}

Si vous voulez utiliser une politique de point de terminaison d’un VPC spécifique avec un point de terminaison d’un VPC d’interface pour une fonctionnalité de surveillance du réseau, suivez les étapes similaires à celles de l’exemple suivant pour ajouter une politique pour Network Flow Monitor.