モニターリングアカウントをソースアカウントにリンクする

• モニターリングアカウントを設定するには — モニターリングアカウントの完全な管理者アクセス権を持っているか、次のアクセス許可を使用してそのアカウントにサインインする必要があります。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "AllowSinkModification",
              "Effect": "Allow",
              "Action": [
                  "oam:CreateSink",
                  "oam:DeleteSink",
                  "oam:PutSinkPolicy",
                  "oam:TagResource"
              ],
              "Resource": "*"
          },
          {
              "Sid": "AllowReadOnly",
              "Effect": "Allow",
              "Action": ["oam:Get*", "oam:List*"],
              "Resource": "*"
          }
      ]
  }

• 特定のモニターリングアカウントにスコープされるソースアカウント — 指定した 1 つのモニターリングアカウントのみのリンクを作成、更新、管理するには、少なくとも次のアクセス許可を持つアカウントにサインインする必要があります。この例では、モニターリングアカウントは 999999999999 です。

  リンクが 5 つのリソースタイプ (メトリクス、ログ、トレース、Application Insights アプリケーション、Internet Monitor モニター) のいずれかを共有していない場合は、必要に応じて cloudwatch:Link、logs:Link、xray:Link、applicationinsights:Link、または internetmonitor:Link を省略できます。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Action": [
                  "oam:CreateLink",
                  "oam:UpdateLink",
                  "oam:DeleteLink",
                  "oam:GetLink",
                  "oam:TagResource"
              ],
              "Effect": "Allow",
              "Resource": "arn:*:oam:*:*:link/*"
          },
          {
              "Action": [
                  "oam:CreateLink",
                  "oam:UpdateLink"
              ],
              "Effect": "Allow",
              "Resource": "arn:*:oam:*:*:sink/*",
              "Condition": {
                  "StringEquals": {
                      "aws:ResourceAccount": [
                          "999999999999"
                      ]
                  }
              }
          },
          {
              "Action": "oam:ListLinks",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "cloudwatch:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "logs:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "xray:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
               "Action": "applicationinsights:Link",
               "Effect": "Allow",
               "Resource": "*"
           },
          {
               "Action": "internetmonitor:Link",
               "Effect": "Allow",
               "Resource": "*"
          }
      ]
  }

• 任意のモニタリングアカウントにリンクできるアクセス許可を持つソースアカウント — 既存のモニタリングアカウントのシンクへのリンクを作成し、メトリクス、ロググループ、トレース、Application Insights アプリケーション、Internet Monitor モニターを共有するには、完全な管理者アクセス許可または次のアクセス許可で、ソースアカウントにサインインする必要があります。

  リンクが 5 つのリソースタイプ (メトリクス、ログ、トレース、Application Insights アプリケーション、Internet Monitor モニター) のいずれかを共有していない場合は、必要に応じて cloudwatch:Link、logs:Link、xray:Link、applicationinsights:Link、または internetmonitor:Link を省略できます。

  {
      "Version": "2012-10-17",
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "oam:CreateLink",
                  "oam:UpdateLink"
              ],
              "Resource": [
                  "arn:aws:oam:*:*:link/*",
                  "arn:aws:oam:*:*:sink/*"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oam:List*",
                  "oam:Get*"
              ],
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oam:DeleteLink",
                  "oam:GetLink",
                  "oam:TagResource"
              ],
              "Resource": "arn:aws:oam:*:*:link/*"
          },
          {
              "Action": "cloudwatch:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "xray:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "logs:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
               "Action": "applicationinsights:Link",
               "Effect": "Allow",
               "Resource": "*"
          },
          {
               "Action": "internetmonitor:Link",
               "Effect": "Allow",
               "Resource": "*"
          }
      ]
  }

• モニタリング アカウントでの管理者によるフルアクセス

• モニタリングする特定のタイプのリソースを表示するためのアクセス許可に加えて、次のクロスアカウント アクセス許可が必要です。

  {
     "Sid": "AllowReadOnly",
     "Effect": "Allow",
     "Action": [
       "oam:Get*",
       "oam:List*"
     ],
     "Resource": "*"
   }

前提条件

• ソースアカウントとして AWS Organizations 組織内のアカウントを設定する場合 — 組織パスまたは組織 ID を取得します。

• ソースアカウントに Organizations を使用していない場合 — ソースアカウントのアカウント ID を取得します。

• 組織全体をリンクする場合 — CloudWatch では、AWS CloudFormation テンプレートが提供されています。

• 個々のアカウントをリンクする場合 — CloudWatch が提供する URL または AWS CloudFormation テンプレートを使用します。