Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Cross-account Console per più regioni CloudWatch

La CloudWatch console multiaccount e interregionale ti consente di passare facilmente da un account all'altro e alla regione utilizzando i selettori nella console per visualizzare i dashboard, gli allarmi e le metriche di altri account e regioni. Questa funzionalità consente anche di creare dashboard per più account e più regioni che riepilogano le CloudWatch metriche di più AWS account e più regioni in un'unica dashboard, rendendole accessibili senza dover cambiare account o regione.

Molte organizzazioni hanno le proprie AWS risorse distribuite in più account, per fornire limiti di fatturazione e sicurezza. In questo caso, ti consigliamo di designare uno o più account come account di monitoraggio e di creare dashboard interregionali tra più account in tali account. Cross-account La funzionalità della console per più regioni è integrata con AWS Organizations, per aiutarti a creare in modo efficiente i tuoi dashboard interregionali tra account.

L'esperienza di CloudWatch console tra account e aree geografiche non offre la visibilità dei log tra account e aree geografiche. Inoltre, non supporta la creazione di allarmi sulle metriche di altri account o Regioni dall'interno di un account di monitoraggio.

Attivazione della funzionalità interregionale tra account in CloudWatch

Per configurare la funzionalità interregionale tra account nella CloudWatch console, utilizza la CloudWatch console per configurare gli account di condivisione e gli account di monitoraggio.

Configurazione di un account di condivisione

È necessario abilitare la condivisione in ogni account che renderà i dati disponibili per l'account di monitoraggio.

Ciò concede le autorizzazioni di sola lettura scelte nel passaggio 5 a tutti gli utenti che visualizzano una dashboard multiaccount nell'account con cui condividi, se l'utente dispone delle autorizzazioni corrispondenti nell'account con cui condividi.

Condivisione con un'intera organizzazione

Completando la procedura precedente viene creato un ruolo IAM che consente all'account di condividere i dati con un account. È possibile creare o modificare un ruolo IAM che condivide i dati con tutti gli account di un'organizzazione. Eseguire questa operazione solo se si conoscono e si considerano attendibili tutti gli account dell'organizzazione.

Ciò concede le autorizzazioni di sola lettura elencate nelle politiche illustrate nel passaggio 5 della procedura precedente a tutti gli utenti che visualizzano una dashboard multiaccount nell'account con cui condividi, se l'utente dispone delle autorizzazioni corrispondenti nell'account con cui condividi.

Configurazione di un account di monitoraggio

Consenti a ciascun account di monitoraggio di visualizzare i CloudWatch dati relativi a più account. Puoi abilitare un account di monitoraggio utilizzando la CloudWatch console Amazon o il AWS Cloud Development Kit (AWS CDK).

Dopo aver configurato un account di monitoraggio, puoi creare dashboard per più account. Per ulteriori informazioni, consulta Creazione di un pannello di controllo personalizzato CloudWatch.

Abilita un account di monitoraggio utilizzando la console

Una volta completata la procedura seguente, CloudWatch crea un ruolo di servizio da CloudWatch utilizzare nell'account di monitoraggio per accedere ai dati condivisi dagli altri account. Questo ruolo di servizio viene chiamato ServiceRoleForCloudWatchCrossAccountV2.

Abilita un account di monitoraggio utilizzando il CDK

Puoi anche configurare un account di monitoraggio senza utilizzare la console. Definisci il ServiceRoleForCloudWatchCrossAccountV2ruolo di infrastruttura come codice. Utilizza questo approccio quando gestisci più account di monitoraggio. Distribuisce il ruolo in modo coerente su tutti. L'esempio seguente utilizza l' AWS CDK in TypeScript per definire il ruolo con la politica di fiducia richiesta e una politica di autorizzazioni in linea:

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

Questo esempio utilizza una risorsa wildcard, che rappresenta l'ambito meno restrittivo. Per limitare l'account di monitoraggio a specifici account di condivisione o a un'organizzazione, modifica l'resourcesarray. È possibile aggiungere una conditions proprietà con una aws:ResourceOrgID condizione. Entrambi gli approcci corrispondono a una delle politiche in linea riportate nella sezione seguente.

Per distribuire il ruolo su più account contemporaneamente, utilizza il modello sintetizzato con. CloudFormation StackSets Un set di stack crea il ruolo su più account e regioni in un'unica operazione. Un set di stack distribuisce inoltre automaticamente il ruolo ai nuovi account che entrano a far parte dell'organizzazione. Per ulteriori informazioni CloudFormation StackSets, consulta Working with CloudFormation StackSets nella Guida per l'CloudFormation utente.

Ambito di account a cui può accedere l'account di monitoraggio

Quando si definisce il ruolo con il AWS CDK, la politica di autorizzazioni in linea concede l'autorizzazione. sts:AssumeRole CloudWatch utilizza questa autorizzazione per assumerla CloudWatch-CrossAccountSharingRolenei tuoi account di condivisione. Per seguire il principio del privilegio minimo, limita l'Resourcests:AssumeRoleazione ai soli account necessari all'account di monitoraggio. È possibile definire l'accesso nei seguenti modi, dal più restrittivo al meno restrittivo:

Cross-Region funzionalità

Questa funzionalità fornisce Cross-Region funzionalità automaticamente. Non è necessario eseguire ulteriori passaggi per visualizzare le metriche di diverse regioni in un unico account sullo stesso grafico o sulla stessa dashboard. Cross-Region la funzionalità non è supportata per gli allarmi, quindi non è possibile creare un allarme in una regione che controlli una metrica in un'altra regione.

(Facoltativo) Effettua l'integrazione con AWS Organizations

Se si desidera integrare la funzionalità tra account AWS Organizations, è necessario creare un elenco di tutti gli account dell'organizzazione a disposizione degli account di monitoraggio.

Risoluzione dei problemi relativi alla CloudWatch configurazione di più account

Questa sezione contiene suggerimenti per la risoluzione dei problemi relativi alla distribuzione di console su più account in CloudWatch.

Monitoraggio delle autorizzazioni dell'account per l'accesso da più account

Per accedere correttamente a un'azione negli account di origine, l'utente dell'account di monitoraggio deve disporre dell'autorizzazione equivalente per tutte le risorse (*) per quell'azione nell'account di monitoraggio. Si tratta di un requisito di autorizzazione locale nell'account di monitoraggio e non è correlato alle autorizzazioni relative al ruolo di condivisione tra account negli account di origine.

Esempio

Per avviare una query Logs in un account di origine, è necessario disporre dell'accesso con wildcard (*) nell'account di StartQuery monitoraggio. Il ruolo interaccount dell'account di origine può comunque limitare l'accesso a gruppi di log specifici.

Supportato - risorsa wildcard:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Non supportato - ARN specifico:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Disabilitazione e pulizia dopo l'utilizzo di più account

Per disabilitare la funzionalità su più account per CloudWatch, segui questi passaggi.

Passaggio 1: rimuovere gli stack o i ruoli di più account

Il metodo migliore consiste nel rimuovere gli CloudFormation stack utilizzati per abilitare la funzionalità tra più account.

Se non hai utilizzato gli CloudFormation stack per abilitare la funzionalità tra più account, procedi come segue:

Passaggio 2: rimuovere il ruolo di servizio

Nell'account di monitoraggio, elimina il ruolo del servizio ServiceRoleForCloudWatchCrossAccountV2IAM.