Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Cross-account Konsol lintas wilayah CloudWatch

CloudWatch Konsol lintas akun, lintas wilayah memungkinkan Anda beralih dengan mudah antara akun dan Wilayah yang berbeda dengan menggunakan pemilih di konsol untuk melihat dasbor, alarm, dan metrik di akun dan Wilayah lain. Fitur ini juga memungkinkan Anda membuat dasbor lintas akun, lintas wilayah yang merangkum CloudWatch metrik Anda dari beberapa AWS akun dan beberapa Wilayah ke dalam satu dasbor, membuatnya dapat diakses tanpa harus beralih akun atau Wilayah.

Banyak organisasi memiliki AWS sumber daya yang digunakan di beberapa akun, untuk memberikan batasan penagihan dan keamanan. Dalam hal ini, Anda harus menetapkan satu atau lebih akun Anda sebagai akun pemantauan Anda, dan membangun dasbor lintas wilayah lintas akun Anda di akun ini. Cross-account Fungsionalitas konsol lintas wilayah terintegrasi dengan AWS Organizations, untuk membantu Anda membangun dasbor lintas wilayah lintas akun secara efisien.

Pengalaman CloudWatch konsol lintas akun dan lintas wilayah tidak menyediakan visibilitas lintas wilayah lintas akun untuk log. Selain itu, tidak mendukung pembuatan alarm pada metrik di akun lain atau Wilayah dari dalam akun pemantauan.

Mengaktifkan fungsionalitas lintas wilayah lintas akun di CloudWatch

Untuk mengatur fungsionalitas lintas wilayah lintas akun di CloudWatch konsol Anda, gunakan CloudWatch konsol untuk mengatur akun berbagi dan akun pemantauan Anda.

Menyiapkan akun berbagi

Anda harus mengaktifkan berbagi di masing-masing akun yang akan menyediakan data ke akun pemantauan.

Ini memberikan izin baca-saja yang Anda pilih pada langkah 5 kepada semua pengguna yang melihat dasbor lintas akun di akun yang Anda bagikan, jika pengguna memiliki izin yang sesuai di akun yang Anda bagikan.

Berbagi dengan seluruh organisasi

Bila Anda telah menyelesaikan prosedur-prosedur sebelumnya, hal itu akan menciptakan sebuah peran IAM sehingga memungkinkan akun Anda untuk berbagi data dengan satu akun. Anda dapat membuat atau menyunting sebuah peran IAM yang membagikan data Anda dengan semua akun dalam sebuah organisasi. Lakukan ini hanya jika Anda mengenal dan memercayai semua akun yang ada dalam organisasi tersebut.

Ini memberikan izin baca-saja yang tercantum dalam kebijakan yang ditunjukkan pada langkah 5 prosedur sebelumnya kepada semua pengguna yang melihat dasbor lintas akun di akun yang Anda bagikan, jika pengguna memiliki izin yang sesuai di akun yang Anda bagikan.

Menyiapkan sebuah akun pemantauan

Aktifkan setiap akun pemantauan untuk melihat CloudWatch data lintas akun. Anda dapat mengaktifkan akun pemantauan dengan menggunakan CloudWatch konsol Amazon atau AWS Cloud Development Kit (AWS CDK).

Setelah menyiapkan akun pemantauan, Anda dapat membuat dasbor lintas akun. Untuk informasi selengkapnya, lihat Membuat CloudWatch dasbor yang disesuaikan.

Mengaktifkan akun pemantauan dengan menggunakan konsol

Saat Anda menyelesaikan prosedur berikut, buat peran CloudWatch layanan yang CloudWatch digunakan di akun pemantauan untuk mengakses data yang dibagikan dari akun Anda yang lain. Peran layanan ini disebut ServiceRoleForCloudWatchCrossAccountV2.

Aktifkan akun pemantauan dengan menggunakan CDK

Anda juga dapat mengatur akun pemantauan tanpa menggunakan konsol. Mendefinisikan ServiceRoleForCloudWatchCrossAccountV2 peran sebagai infrastruktur sebagai kode. Gunakan pendekatan ini saat Anda mengelola beberapa akun pemantauan. Ini menyebarkan peran secara konsisten di semua dari mereka. Contoh berikut menggunakan AWS CDK in TypeScript untuk menentukan peran dengan kebijakan kepercayaan yang diperlukan dan kebijakan izin sebaris:

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  path: '/service-role/',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

Contoh ini menggunakan sumber daya wildcard, yang merupakan cakupan yang paling tidak membatasi. Untuk membatasi akun pemantauan ke akun berbagi tertentu atau ke organisasi, ubah resources array. Anda dapat menambahkan conditions properti dengan aws:ResourceOrgID kondisi. Salah satu pendekatan cocok dengan salah satu kebijakan sebaris di bagian berikut.

Untuk menerapkan peran ke banyak akun sekaligus, gunakan template yang disintesis dengan CloudFormation StackSets. Kumpulan tumpukan menciptakan peran di beberapa akun dan Wilayah dalam satu operasi. Kumpulan tumpukan juga secara otomatis menerapkan peran ke akun baru yang bergabung dengan organisasi Anda. Untuk informasi selengkap CloudFormation StackSets nya, lihat Bekerja dengan CloudFormation StackSets di Panduan CloudFormation Pengguna.

Lingkup akun yang dapat diakses akun pemantauan

Saat Anda menentukan peran dengan AWS CDK, kebijakan izin sebaris memberikan sts:AssumeRole izin. CloudWatch menggunakan izin ini untuk mengasumsikan CloudWatch-CrossAccountSharingRole di akun berbagi Anda. Untuk mengikuti prinsip hak istimewa paling sedikit, batasi Resource sts:AssumeRole tindakan hanya pada akun yang dibutuhkan akun pemantauan. Anda dapat menjangkau akses dengan cara berikut, dari yang paling ketat hingga yang paling tidak membatasi:

Cross-Region fungsionalitas

Fitur ini menyediakan Cross-Region fungsionalitas secara otomatis. Anda tidak perlu mengambil langkah tambahan untuk menampilkan metrik dari Wilayah yang berbeda dalam satu akun pada grafik yang sama atau dasbor yang sama. Cross-Region fungsionalitas tidak didukung untuk alarm, jadi Anda tidak dapat membuat alarm di satu Wilayah yang menonton metrik di Wilayah yang berbeda.

(Opsional) Integrasikan dengan AWS Organizations

Jika Anda ingin mengintegrasikan fungsionalitas lintas akun dengan AWS Organizations, Anda harus membuat daftar semua akun di organisasi yang tersedia untuk akun pemantauan.

Memecahkan masalah pen CloudWatch yiapan lintas akun

Bagian ini memuat kiat pemecahan masalah untuk penyebaran konsol lintas akun di CloudWatch.

Memantau izin akun untuk akses lintas akun

Agar berhasil mengakses tindakan di akun sumber, pengguna di akun pemantauan harus memiliki izin yang setara untuk semua sumber daya (*) untuk tindakan tersebut di akun pemantauan. Ini adalah persyaratan izin lokal di akun pemantauan dan tidak terkait dengan izin dalam peran berbagi lintas akun di akun sumber.

Contoh

Untuk memulai kueri Logs di akun sumber, Anda harus memiliki akses wildcard (*) ke StartQuery akun pemantauan. Peran lintas akun sumber masih dapat membatasi akses ke grup log tertentu.

Didukung - sumber wildcard:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Tidak didukung - ARN spesifik:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Melakukan penonaktifan dan pembersihan setelah menggunakan lintas akun

Untuk menonaktifkan fungsionalitas lintas akun CloudWatch, ikuti langkah-langkah ini.

Langkah 1: Menghapus tumpukan atau peran lintas akun

Metode terbaik adalah menghapus tumpukan CloudFormation yang digunakan untuk mengaktifkan fungsionalitas lintas akun.

Jika Anda tidak menggunakan tumpukan CloudFormation untuk mengaktifkan fungsionalitas lintas akun, lakukan hal berikut:

Langkah 2: Hapus peran layanan

Di akun pemantauan, hapus peran layanan ServiceRoleForCloudWatchCrossAccountV2 IAM.