テレメトリ設定のセットアップ

CloudWatch コンソールを使用して、AWS アカウント または組織のテレメトリをセットアップします。組織の場合、 管理アカウントまたは CloudWatch の委任された管理者アカウントとして、CloudWatch は組織内のすべてのメンバーアカウントで、AWS リソースを検出し、テレメトリ設定を可視化します。

テレメトリ設定は、オフにするまでアクティブのままです。詳細については、「テレメトリ設定の無効化」を参照してください。

前提条件とアクセス許可

組織のテレメトリ構成には、AWS Organizations と CloudWatch の間の信頼されたアクセスが必要です。信頼されたアクセスが有効になると、CloudWatch は AWSServiceRoleForObservabilityAdmin という名前のサービスにリンクされたロールを作成し、組織のリソースおよびテレメトリ構成の検出をサポートします。

管理アカウントから組織のテレメトリ構成をオンにすると、CloudWatch は自動的に信頼されたアクセスを有効にし、サービスにリンクされたロールを作成します。テレメトリ評価を開始する前に、信頼されたアクセスを手動でセットアップする必要はありません。

次の例の JSON ポリシーは、組織のテレメトリ構成をオンにするために必要な追加のアクセス許可を付与します:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateObservabilityAdminServiceLinkedRoles",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/observabilityadmin.amazonaws.com/AWSServiceRoleForObservabilityAdmin",
                "arn:aws:iam::*:role/aws-service-role/telemetry-enablement.observabilityadmin.amazonaws.com/AWSServiceRoleForObservabilityAdmin_TelemetryEnablement"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "observabilityadmin.amazonaws.com",
                        "telemetry-enablement.observabilityadmin.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AllowEnableTrustedAccessForObservabilityAdmin",
            "Effect": "Allow",
            "Action": "organizations:EnableAWSServiceAccess",
            "Resource": "*"
        }
    ]
}

サービスにリンクされたロールの詳細については、を参照してくださいCloudWatch テレメトリ設定のサービスにリンクされたロール許可 AWS Organizations の詳細については、「AWS Organizations ユーザーガイド」の「Amazon CloudWatch と AWS Organizations」を参照してください。

アカウントのテレメトリ設定を有効化する

AWS アカウントのテレメトリを設定して、そのアカウントの AWS リソースのテレメトリをモニタリングします。AWS Organizations に組織がある場合は、代わりに組織のテレメトリを設定します。詳細については、「組織のテレメトリの設定」を参照してください。

リージョン間での有効化

テレメトリ設定は、単一のリージョンから複数の AWS リージョンに拡張できます。マルチリージョンのサポートを有効にすると、現在のリージョンがホームリージョンになります。テレメトリ設定は、選択したリージョンにレプリケートされます。

[すべてのリージョン] を選択すると、オプトイン時に新しいリージョンが自動的に含まれます。システムは、設定のドリフトを修正するために、リージョン間の設定を定期的に整合させます。

組織の委任管理者アカウントを登録する

委任管理者アカウントは、サービス管理アクセス許可の管理者アクセスを共有するメンバーアカウントです。委任管理者として登録するアカウントは、組織内に存在する必要があります。組織の委任管理者アカウントは CloudWatch の外部でも使用できるため、この手順に従う前に、必ずこのアカウントタイプについて十分に理解してください。詳細については、「AWS Organizations ユーザーガイド」の「Amazon CloudWatch と AWS Organizations」を参照してください。

委任管理者アカウントを削除または変更するには、まずアカウントの登録を解除します。詳細については、「委任管理者アカウントを登録解除する」を参照してください。

委任管理者アカウントを登録解除する

AWS Organizations の信頼されたアクセスを無効にする前に、委任管理者アカウントを登録解除してください。委任管理者アカウントがテレメトリ設定用の適切な AWS リソースにアクセスできなくなったり、別のメンバーアカウントを委任管理者として選択できなくなったりした場合は、そのアカウントの登録を解除することもできます。このアカウントは、AWS Organizations のアカウント管理タスクを実行できません。詳細については、「AWS Organizations ユーザーガイド」の「Amazon CloudWatch と AWS Organizations」を参照してください。

アカウントを委任管理者として登録するには、「組織の委任管理者アカウントを登録する」を参照してください。

AWS Organizations の信頼されたアクセスを無効にする

信頼されたアクセスは、AWS Organizations の管理アカウントの機能を他の AWS サービスに拡張します。信頼されたアクセスを無効にすると、CloudWatch だけでなく、組織とすべての AWS サービス間の信頼されたアクセスが停止します。

組織で信頼されたアクセスを有効にする必要がなくなった場合は、無効にすることができます。詳細については、「AWS Organizations ユーザーガイド」の「Amazon CloudWatch と AWS Organizations」を参照してください。