クロスアカウントクロスリージョン CloudWatch コンソール

クロスアカウント、クロスリージョンの CloudWatch コンソールでは、コンソールのセレクターを使用して他のアカウントとリージョンのダッシュボード、アラーム、メトリクスを表示することで、異なるアカウントとリージョンを簡単に切り替えることができます。また、この機能を使用すると、複数の AWS アカウントと複数のリージョンの CloudWatch メトリクスを 1 つのダッシュボードにまとめるクロスアカウント、クロスリージョンダッシュボードを作成できるため、アカウントやリージョンを切り替えることなくアクセスできるようになります。

多くの組織では、請求とセキュリティの境界を提供するために、AWS リソースを複数のアカウントにデプロイしています。この場合、モニタリングアカウントとして 1 つ以上のアカウントを指定し、それらのアカウントでクロスリージョンダッシュボードを構築することをお勧めします。クロスアカウントクロスリージョンコンソール機能は AWS Organizations と統合され、クロスアカウントクロスリージョンダッシュボードを効率的に構築できるようになります。

クロスアカウント、クロスリージョンの CloudWatch コンソールエクスペリエンスでは、クロスアカウントクロスリージョンのログを可視化できません。さらに、モニタリングアカウント内から他のアカウントまたはリージョンのメトリクスに対するアラームの作成はサポートされていません。

CloudWatch でのクロスアカウントクロスリージョン機能の有効化

CloudWatch コンソールでクロスアカウントクロスリージョン機能を設定するには、CloudWatch コンソールを使用して共有アカウントとモニタリングアカウントを設定します。

共有アカウントを設定する

モニターリングアカウントでデータを使用できるようにするには、各アカウントで共有を有効にする必要があります。

これにより、共有先のアカウントでクロスアカウントダッシュボードを表示するすべてのユーザーに対して、当該ユーザーが共有先のアカウントで対応する許可を有している場合は、ステップ 5 で選択した読み取り専用許可が付与されます。

組織全体との共有

上記の手順を完了すると、アカウントが 1 つのアカウントとデータを共有できる IAM ロールが作成されます。組織内のすべてのアカウントとデータを共有する IAM ロールを作成または編集できます。これは、組織内のすべてのアカウントについて認識していて、信頼できる場合にのみ実行してください。

これにより、共有先のアカウントでクロスアカウントダッシュボードを表示するすべてのユーザーに対して、当該ユーザーが共有先のアカウントで対応する許可を有している場合は、前の手順のステップ 5 で示したポリシーにリストされた読み取り専用許可が付与されます。

監視アカウントを設定

クロスアカウント CloudWatch データを表示するには、各モニターリングアカウントを有効にします。Amazon CloudWatch コンソールまたは AWS Cloud Development Kit (AWS CDK) を使用して、モニタリングアカウントを有効化できます。

モニタリングアカウントをセットアップしたら、クロスアカウントダッシュボードを作成できます。詳細については、「カスタマイズされた CloudWatch ダッシュボードの作成」を参照してください。

コンソールを使用したモニタリングアカウントの有効化

次の手順を完了すると、CloudWatch は、モニタリングアカウントで CloudWatch を使用して他のアカウントから共有されるデータにアクセスするサービスロールを作成します。このサービスロールは ServiceRoleForCloudWatchCrossAccountV2 と呼ばれます。

CDK を使用したモニタリングアカウントの有効化

コンソールを使用せずにモニタリングアカウントをセットアップすることもできます。ServiceRoleForCloudWatchCrossAccountV2 ロールを Infrastructure as Code として定義します。複数のモニタリングアカウントを管理する場合は、このアプローチを使用します。すべてのモニタリングアカウントに一貫してこのロールをデプロイします。次の例では、TypeScript の AWS CDK を使用して、必要な信頼ポリシーとインラインアクセス許可ポリシーを含むロールを定義します。

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

この例では、最も制限の少ないスコープであるワイルドカードリソースを使用します。モニタリングアカウントを特定の共有アカウントまたは組織に制限するには、resources 配列を変更します。aws:ResourceOrgID 条件を使用して conditions プロパティを追加できます。どちらのアプローチも、次のセクションのインラインポリシーのいずれかと一致します。

多数のアカウントにこのロールを一度にデプロイするには、CloudFormation StackSets を含む合成テンプレートを使用します。1 つのスタックセットにより、1 回のオペレーションで複数のアカウントとリージョンにまたがってロールが作成されます。スタックセットではさらに、組織に参加する新しいアカウントにロールが自動的にデプロイされます。CloudFormation StackSets の詳細については、「CloudFormation ユーザーガイド」の「CloudFormation StackSets の操作」を参照してください。

モニタリングアカウントがアクセスできるアカウントの範囲

AWS CDK を使用してロールを定義すると、インラインアクセス許可ポリシーにより sts:AssumeRole アクセス許可が付与されます。CloudWatch はこのアクセス許可を使用して、共有アカウントの CloudWatch-CrossAccountSharingRole を引き受けます。最小特権の原則に従うために、sts:AssumeRole アクションの Resource を、モニタリングアカウントが必要とするアカウントのみに制限します。アクセスの範囲は、制限の最も厳しいものから最も緩いものまで、次の方法で設定できます。

クロスリージョン機能

この機能によりクロスリージョン機能が自動的に提供されます。追加の手順を実行しなくても、単一のアカウントで複数の異なるリージョンからのメトリクスを同じグラフや同じダッシュボードに表示できます。クロスリージョン機能はアラームではサポートされていないため、あるリージョンで作成したアラームで別のリージョンのメトリクスをモニターリングすることはできません。

(オプション) との統合AWS Organizations

クロスアカウント機能を AWS Organizations と統合する場合は、モニターリングアカウントとして使用できる組織内のすべてのアカウントのリストを作成する必要があります。

CloudWatch クロスアカウントセットアップのトラブルシューティング

このセクションでは、CloudWatch でのクロスアカウントコンソールのデプロイに関するトラブルシューティングのヒントを示します。

モニタリングアカウントにおけるクロスアカウントアクセス用アクセス許可

モニタリングアカウントのユーザーは、ソースアカウントのアクションに正常にアクセスするには、モニタリングアカウント内の対象アクションのすべてのリソース (*) に対して同等のアクセス許可を持っている必要があります。これはモニタリングアカウントのローカルアクセス許可要件であり、ソースアカウントのクロスアカウント共有ロールのアクセス許可とは無関係です。

例

ソースアカウントで Logs クエリを開始するには、モニタリングアカウントの StartQuery へのワイルドカード (*) アクセスが必要です。ソースアカウントのクロスアカウントロールは、特定のロググループへのアクセスを制限できます。

サポートされている - ワイルドカードリソース:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

サポートされていない - 特定の ARN:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

クロスアカウント使用後の無効化とクリーンアップ

CloudWatch のクロスアカウント機能を無効にするには、以下のステップに従います。

ステップ 1: クロスアカウントスタックまたはロールを削除する

最善の方法は、クロスアカウント機能を有効にするために使用された CloudFormation スタックを削除することです。

クロスアカウント機能を有効にするために CloudFormation スタックを使用していない場合は、以下の操作を行います。

ステップ 2: サービスロールを削除する

モニタリングアカウントで、ServiceRoleForCloudWatchCrossAccountV2 IAM サービスロールを削除します。