# テレメトリ設定のセットアップ
CloudWatch コンソールを使用して、AWS アカウント または組織のテレメトリをセットアップします。組織の場合、 管理アカウントまたは CloudWatch の委任された管理者アカウントとして、CloudWatch は組織内のすべてのメンバーアカウントで、AWS リソースを検出し、テレメトリ設定を可視化します。
テレメトリ設定は、オフにするまでアクティブのままです。詳細については、「[テレメトリ設定の無効化](telemetry-config-turn-off.md)」を参照してください。
**Topics**
+ [前提条件とアクセス許可](#telemetry-config-prerequisites)
+ [アカウントのテレメトリ設定を有効化する](#telemetry-config-turn-on-account)
+ [組織のテレメトリ設定を有効化する](telemetry-config-organization.md)
+ [組織の委任管理者アカウントを登録する](#telemetry-config-register-administrator)
## 前提条件とアクセス許可
組織のテレメトリ構成には、AWS Organizations と CloudWatch の間の信頼されたアクセスが必要です。信頼されたアクセスが有効になると、CloudWatch は **AWSServiceRoleForObservabilityAdmin** という名前のサービスにリンクされたロールを作成し、組織のリソースおよびテレメトリ構成の検出をサポートします。
管理アカウントから組織のテレメトリ構成をオンにすると、CloudWatch は自動的に信頼されたアクセスを有効にし、サービスにリンクされたロールを作成します。テレメトリ評価を開始する前に、信頼されたアクセスを手動でセットアップする必要はありません。
**重要**
CloudWatch は、このセットアップを実行するために IAM アクセス許可を使用します。CloudWatch サービスのアクセス許可は使用しません。テレメトリ構成のアクセス許可に加えて、次のアクションの実行が許可されている必要があります:
`iam:CreateServiceLinkedRole` – **AWSServiceRoleForObservabilityAdmin** および **AWSServiceRoleForObservabilityAdmin\_TelemetryEnablement** のサービスにリンクされたロールを作成するために必要です。
`organizations:EnableAWSServiceAccess` – AWS Organizations と CloudWatch の間の信頼されたアクセスを有効にするために必要です。
これらのアクションの実行が許可されていない場合、テレメトリ構成をオンにすることは `AccessDeniedException` で失敗します。CloudWatch は信頼されたアクセスを有効にしません。
次の例の JSON ポリシーは、組織のテレメトリ構成をオンにするために必要な追加のアクセス許可を付与します:
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateObservabilityAdminServiceLinkedRoles",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": [
"arn:aws:iam::*:role/aws-service-role/observabilityadmin.amazonaws.com/AWSServiceRoleForObservabilityAdmin",
"arn:aws:iam::*:role/aws-service-role/telemetry-enablement.observabilityadmin.amazonaws.com/AWSServiceRoleForObservabilityAdmin_TelemetryEnablement"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": [
"observabilityadmin.amazonaws.com",
"telemetry-enablement.observabilityadmin.amazonaws.com"
]
}
}
},
{
"Sid": "AllowEnableTrustedAccessForObservabilityAdmin",
"Effect": "Allow",
"Action": "organizations:EnableAWSServiceAccess",
"Resource": "*"
}
]
}
```
**注記**
委任管理者アカウントを使用してテレメトリ構成をオンにした場合、サービスにリンクされたロールはすべてのメンバーアカウントに自動的に作成されますが、管理アカウントには自動的に作成*されません*。この場合、管理アカウントで **AWSServiceRoleForObservabilityAdmin** のサービスにリンクされたロールを手動で作成する必要があります。
サービスにリンクされたロールの詳細については、を参照してください[CloudWatch テレメトリ設定のサービスにリンクされたロール許可](using-service-linked-roles.md#service-linked-role-telemetry-config) AWS Organizations の詳細については、「AWS Organizations ユーザーガイド」の「[Amazon CloudWatch と AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-cloudwatch.html)」を参照してください。
## アカウントのテレメトリ設定を有効化する
AWS アカウントのテレメトリを設定して、そのアカウントの AWS リソースのテレメトリをモニタリングします。AWS Organizations に組織がある場合は、代わりに組織のテレメトリを設定します。詳細については、「[組織のテレメトリの設定](telemetry-config-organization.md#telemetry-config-turn-on-organization)」を参照してください。
**AWS アカウントのテレメトリを設定する手順**
1. CloudWatch コンソールの [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/) を開いてください。
1. ナビゲーションペインで、**[取り込み]** を選択します。
1. **[データソース]** タブを選択し、**[リソース検出を有効にする]** を選択します。CloudWatch はアカウント内の AWS リソースの検出を開始します。CloudWatch がリソースを検出すると、**[概要]** ページの情報が更新されます。
**注記**
**[概要]** ページにリソースが表示されるまでの時間は、アカウントのリソースの数によって異なります。
### リージョン間での有効化
テレメトリ設定は、単一のリージョンから複数の AWS リージョンに拡張できます。マルチリージョンのサポートを有効にすると、現在のリージョンが*ホームリージョン*になります。テレメトリ設定は、選択したリージョンにレプリケートされます。
**アカウントのリージョン間でテレメトリ設定を有効化するには (初期設定)**
1. CloudWatch コンソールの [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/) を開いてください。
1. ナビゲーションペインで、**[設定]** を選択し、**[アカウント]** タブを選択します。
1. **[グローバル]** タブの **[CloudWatch テレメトリ設定]** セクションで、ステータスが **[オフ]** と表示されます。マルチリージョンを有効にすると、**[ターゲットリージョン]** セレクタがステータスの下にインラインで表示されます。
1. **[すべてのリージョン]** トグルを使用してすべてのリージョンを含めるか、複数選択ドロップダウンを使用して個々のリージョンを選択します。現在のリージョンは常に自動的に含まれ、セレクタには表示されません。
1. **[オンにする]** を選択します。
1. テレメトリ設定をオンにすると、リージョンごとの評価ステータスを示す **[リージョンステータス]** テーブルが表示されます。
**リージョンを再設定するには (テレメトリは既に実行中)**
1. CloudWatch コンソールの [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/) を開いてください。
1. ナビゲーションペインで、**[設定]** を選択し、**[アカウント]** タブを選択します。
1. **[CloudWatch テレメトリ設定]** セクションで、**[リージョンの設定]** を選択します。**[ターゲットリージョン]** セレクタはインラインで表示され、現在設定されているリージョンがあらかじめ入力されています。
1. 必要に応じてリージョンの選択を変更し、**[保存]** を選択します。
**[すべてのリージョン]** を選択すると、オプトイン時に新しいリージョンが自動的に含まれます。システムは、設定のドリフトを修正するために、リージョン間の設定を定期的に整合させます。
## 組織の委任管理者アカウントを登録する
委任管理者アカウントは、サービス管理アクセス許可の管理者アクセスを共有するメンバーアカウントです。委任管理者として登録するアカウントは、組織内に存在する必要があります。組織の委任管理者アカウントは CloudWatch の外部でも使用できるため、この手順に従う前に、必ずこのアカウントタイプについて十分に理解してください。詳細については、「AWS Organizations ユーザーガイド」の「[Amazon CloudWatch と AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-cloudwatch.html)」を参照してください。
委任管理者アカウントを削除または変更するには、まずアカウントの登録を解除します。詳細については、「[委任管理者アカウントを登録解除する](#telemetry-config-deregister-administrator)」を参照してください。
**委任管理者アカウントを登録するには**
1. CloudWatch コンソール ([https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/)) を開きます。
1. ナビゲーションペインで [**Settings**] (設定) をクリックします。
1. **[組織]** タブを選択します。
1. **[組織設定管理]** ペインで **[委任管理者を登録]** を選択します。
1. **[委任管理者を登録]** ダイアログで、**[委任管理者アカウント ID]** として組織メンバーアカウントの 12 桁のアカウント ID を入力します。
1. [**Register delegated administrator (委任管理者の登録)**] を選択します。**[CloudWatch 設定]** ページの上部に、アカウントが正常に登録されたことを示すメッセージが表示されます。委任管理者アカウントに関する情報を表示するには、**[委任管理者]** の下の番号を選択します。
### 委任管理者アカウントを登録解除する
AWS Organizations の信頼されたアクセスを無効にする前に、委任管理者アカウントを登録解除してください。委任管理者アカウントがテレメトリ設定用の適切な AWS リソースにアクセスできなくなったり、別のメンバーアカウントを委任管理者として選択できなくなったりした場合は、そのアカウントの登録を解除することもできます。このアカウントは、AWS Organizations のアカウント管理タスクを実行できません。詳細については、「AWS Organizations ユーザーガイド」の「[Amazon CloudWatch と AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-cloudwatch.html)」を参照してください。
**委任管理者のアカウントを登録解除する手順**
1. CloudWatch コンソール ([https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/)) を開きます。
1. ナビゲーションペインで [**Settings**] (設定) をクリックします。
1. **[組織]** タブで、**[登録解除]** を選択します。
1. **[委任管理者の登録解除]** ページで、**[登録解除]** を選択します。
アカウントを委任管理者として登録するには、「[組織の委任管理者アカウントを登録する](#telemetry-config-register-administrator)」を参照してください。
### AWS Organizations の信頼されたアクセスを無効にする
信頼されたアクセスは、AWS Organizations の管理アカウントの機能を他の AWS サービスに拡張します。信頼されたアクセスを無効にすると、CloudWatch だけでなく、組織とすべての AWS サービス間の信頼されたアクセスが停止します。
組織で信頼されたアクセスを有効にする必要がなくなった場合は、無効にすることができます。詳細については、「AWS Organizations ユーザーガイド」の「[Amazon CloudWatch と AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-cloudwatch.html)」を参照してください。
**注記**
組織の信頼されたアクセスを無効にする前に、委任管理者アカウントの登録を解除します。詳細については、「[委任管理者アカウントを登録解除する](#telemetry-config-deregister-administrator)」を参照してください。
**AWS Organizations の信頼されたアクセスを無効にする手順**
1. CloudWatch コンソール ([https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/)) を開きます。
1. ナビゲーションペインで [**Settings**] (設定) をクリックします。
1. **[組織]** タブを選択します。
1. **[組織管理設定]** セクションで、**[無効にする]** を選択します。