Invio di eventi a un AWS servizio in un altro account in EventBridge

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

EventBridge può inviare eventi da un bus di eventi in un AWS account ai AWS servizi supportati in un altro account, semplificando così l'architettura delle soluzioni basate sugli eventi e riducendo la latenza.

Ad esempio, supponiamo di disporre di un set di bus di eventi, ospitati in più account, necessari per inviare eventi relativi alla sicurezza a una coda Amazon SQS in un account centralizzato per ulteriori elaborazioni e analisi asincrone.

EventBridge supporta l'invio di eventi a destinazioni tra più account nella stessa regione.

Servizi supportati

EventBridge supporta l'invio di eventi alle seguenti destinazioni in altri AWS account:

Per i prezzi, consulta EventBridge i prezzi di Amazon.

Autorizzazioni

L'abilitazione dell'accesso ai AWS servizi come destinazioni per l'erogazione di eventi su più account prevede i seguenti passaggi:

Specificare un ruolo di esecuzione

Specificare un ruolo di esecuzione EventBridge da utilizzare per l'invio di eventi alla destinazione quando viene attivata la regola.

Questo ruolo di esecuzione deve trovarsi nello stesso account del bus degli eventi. EventBridge assume questo ruolo quando tenta di richiamare la destinazione e vengono applicate tutte le politiche di controllo dei servizi (SCPs) che influiscono su questo account.

SCPs sono un tipo di politica organizzativa che è possibile utilizzare per gestire le autorizzazioni all'interno dell'organizzazione. Per ulteriori informazioni, consultare Policy di controllo dei servizi nella Guida per l'utente di AWS Organizations .

Ad esempio, la seguente politica consente al EventBridge servizio di assumere il ruolo di esecuzione:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
       },
      "Action": "sts:AssumeRole"
    }
  ]
}

Inoltre, la seguente policy consente al ruolo di inviare messaggi alle code di Amazon SQS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sqs:SendMessage",
      "Resource": "target-queue-arn"
    }
  ]
}

Per gli account che utilizzano AWS Organizations, puoi applicare un SCP per evitare di richiamare risorse che non appartengono alla tua organizzazione, come mostrato nell'esempio seguente:

{
    "Version": "2012-10-17",
    "Statement": [
          {
            "Action": [
                "*"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Condition": {
                "StringNotEquals": {
                    "aws:ResourceOrgID": "o-1234567890"
                }
            }
        }
    ]
}

Allega una politica di accesso alle risorse alla destinazione

I AWS servizi in grado di ricevere eventi tra account supportano le politiche basate sulle risorse IAM. Ciò consente di allegare una politica di accesso alle risorse alla destinazione, in modo da poter specificare quale account può accedervi.

Basandosi sul nostro esempio precedente, la seguente policy consente all'account Event Bus di accedere alla coda Amazon SQS nell'account di destinazione:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "SQS:SendMessage"
      ],
      "Effect": "Allow",
      "Resource": "target-queue-arn",
      "Principal": {
        "AWS": "source-account-id"
     }
    }
  ]
}

Per ulteriori informazioni, consulta Politiche basate sull'identità e politiche basate sulle risorse nella Guida per l'utente.AWS Identity and Access Management

Creazione di regole che inviano eventi ai servizi di altri account AWS

La specificazione AWS di un servizio in un altro account come destinazione fa parte della creazione della regola del bus degli eventi.