소스 계정과 모니터링 계정 연결

• 모니터링 계정을 설정하려면 - 모니터링 계정에서 전체 관리자 액세스 권한이 있거나 다음 권한으로 해당 계정에 로그인해야 합니다.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "AllowSinkModification",
              "Effect": "Allow",
              "Action": [
                  "oam:CreateSink",
                  "oam:DeleteSink",
                  "oam:PutSinkPolicy",
                  "oam:TagResource"
              ],
              "Resource": "*"
          },
          {
              "Sid": "AllowReadOnly",
              "Effect": "Allow",
              "Action": ["oam:Get*", "oam:List*"],
              "Resource": "*"
          }
      ]
  }

• 특정 모니터링 계정으로 범위가 지정된 소스 계정 - 지정된 하나의 모니터링 계정에 대한 링크를 생성, 업데이트 및 관리하려면 최소한 다음 권한이 있는 계정에 로그인해야 합니다. 이 예제에서 모니터링 계정은 999999999999입니다.

  링크가 5가지 리소스 유형(지표, 로그, 추적, Application Insights 애플리케이션, Internet Monitor 모니터)을 모두 공유하지 않는 경우 필요에 따라 cloudwatch:Link, logs:Link, xray:Link, applicationinsights:Link 또는 internetmonitor:Link를 생략할 수 있습니다.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Action": [
                  "oam:CreateLink",
                  "oam:UpdateLink",
                  "oam:DeleteLink",
                  "oam:GetLink",
                  "oam:TagResource"
              ],
              "Effect": "Allow",
              "Resource": "arn:*:oam:*:*:link/*"
          },
          {
              "Action": [
                  "oam:CreateLink",
                  "oam:UpdateLink"
              ],
              "Effect": "Allow",
              "Resource": "arn:*:oam:*:*:sink/*",
              "Condition": {
                  "StringEquals": {
                      "aws:ResourceAccount": [
                          "999999999999"
                      ]
                  }
              }
          },
          {
              "Action": "oam:ListLinks",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "cloudwatch:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "logs:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "xray:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
               "Action": "applicationinsights:Link",
               "Effect": "Allow",
               "Resource": "*"
           },
          {
               "Action": "internetmonitor:Link",
               "Effect": "Allow",
               "Resource": "*"
          }
      ]
  }

• 모든 모니터링 계정에 연결할 수 있는 권한이 있는 소스 계정 – 기존 모니터링 계정 싱크에 대한 링크를 만들고 지표, 로그 그룹, 추적, Application Insights 애플리케이션, Internet Monitor 모니터를 공유하려면, 전체 관리자 권한으로 소스 계정에 로그인하거나 다음 권한으로 로그인해야 합니다.

  링크가 5가지 리소스 유형(지표, 로그, 추적, Application Insights 애플리케이션, Internet Monitor 모니터)을 모두 공유하지 않는 경우 필요에 따라 cloudwatch:Link, logs:Link, xray:Link, applicationinsights:Link 또는 internetmonitor:Link를 생략할 수 있습니다.

  {
      "Version": "2012-10-17",
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "oam:CreateLink",
                  "oam:UpdateLink"
              ],
              "Resource": [
                  "arn:aws:oam:*:*:link/*",
                  "arn:aws:oam:*:*:sink/*"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oam:List*",
                  "oam:Get*"
              ],
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oam:DeleteLink",
                  "oam:GetLink",
                  "oam:TagResource"
              ],
              "Resource": "arn:aws:oam:*:*:link/*"
          },
          {
              "Action": "cloudwatch:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "xray:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
              "Action": "logs:Link",
              "Effect": "Allow",
              "Resource": "*"
          },
          {
               "Action": "applicationinsights:Link",
               "Effect": "Allow",
               "Resource": "*"
          },
          {
               "Action": "internetmonitor:Link",
               "Effect": "Allow",
               "Resource": "*"
          }
      ]
  }

• 모니터링 계정의 전체 관리자 액세스

• 모니터링할 특정 유형의 리소스를 볼 수 있는 권한 외에, 다음과 같은 교차 계정 권한

  {
     "Sid": "AllowReadOnly",
     "Effect": "Allow",
     "Action": [
       "oam:Get*",
       "oam:List*"
     ],
     "Resource": "*"
   }

사전 조건

• AWS Organizations 조직의 계정을 소스 계정으로 설정하는 경우 – 조직 경로 또는 조직 ID를 가져옵니다.

• 소스 계정에 Organizations를 사용하지 않는 경우 - 소스 계정의 계정 ID를 가져옵니다.

• 전체 조직을 연결하는 경우 - CloudWatch에서 AWS CloudFormation 템플릿을 제공합니다.

• 개별 계정을 연결하는 경우 - CloudWatch에서 제공하는AWS CloudFormation 템플릿이나 URL을 사용합니다.