Consultar dados de inventário de várias regiões e contas

O AWS Systems Manager Inventory se integra ao Amazon Athena para ajudar você a consultar dados do inventário de várias Regiões da AWS e Contas da AWS. A integração com o Athena usa a sincronização de dados dos recursos para que você possa visualizar os dados do inventário de todas as instâncias gerenciadas na página Detailed View (Visualização detalhada) no console do AWS Systems Manager.

Você pode visualizar dados de inventário na página Detail View (Detalhes do inventário) em todas as Regiões da AWS onde o Amazon Athena estiver disponível. Para obter uma lista das regiões e dos endpoints compatíveis, consulte Amazon Athena Service Endpoints no Referência geral da Amazon Web Services.

Antes de começar

A integração com o Athena usa aos sincronização de dados d recursos. Você deve definir e configurar a sincronização de dados de recursos para usar esse recurso. Para ter mais informações, consulte Demonstração: usar a sincronização de dados de recursos para agregar dados do inventário.

Além disso, lembre-se de que a página Detail View (Visualização de detalhes) exibe dados de inventário para o proprietário do bucket central do Amazon S3 usado pela sincronização de dados dos recursos. Se você não for o proprietário do bucket central do Amazon S3, não poderá ver os dados de inventário na página Detail View (Visualização de detalhes).

Configurar o acesso

Antes de consultar e visualizar dados de diversas contas e regiões na página Visualização detalhada no console do Systems Manager, é necessário configurar a entidade do IAM com permissões para a visualização de dados.

Se os dados de inventário estiverem armazenados em um bucket do Amazon S3 que usa criptografia do AWS Key Management Service (AWS KMS), você também deve configurar a entidade do IAM e o perfil de serviço Amazon-GlueServiceRoleForSSM para a criptografia do AWS KMS.

Como configurar a entidade do IAM para acessar a página “Visualização detalhada”

A seguir, as permissões mínimas requeridas para visualizar os dados de inventário na página Visualização detalhada são descritas.

A política gerenciada AWSQuicksightAthenaAccess.

O PassRole a seguir e o bloco de permissões adicionais requerido

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGlue",
            "Effect": "Allow",
            "Action": [
                "glue:GetCrawler",
                "glue:GetCrawlers",
                "glue:GetTables",
                "glue:StartCrawler",
                "glue:CreateCrawler"
            ],
            "Resource": "*"
        },
        {
            "Sid": "iamPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "glue.amazonaws.com"
                }
            }
        },
        {
            "Sid": "iamRoleCreation",
           "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:iam::account_ID:role/*"
        },
        {
            "Sid": "iamPolicyCreation",
            "Effect": "Allow",
            "Action": "iam:CreatePolicy",
            "Resource": "arn:aws:iam::account_ID:policy/*"
        }
    ]
}

(Opcional) Se o bucket do Amazon S3 usado para armazenar dados de inventário for criptografado usando o AWS KMS, você também deverá adicionar o seguinte bloco à política:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:Region:account_ID:key/key_ARN"
    ]
}

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis:

(Opcional) Configure as permissões para exibição de dados criptografados do AWS KMS

Se o bucket do Amazon S3 usado para armazenar os dados de inventário for criptografado usando o AWS Key Management Service (AWS KMS), você deverá configurar a entidade do IAM e o perfil Amazon-GlueServiceRoleForSSM com permissões kms:Decrypt para a chave do AWS KMS.

Antes de começar

Para fornecer as permissões kms:Decrypt para a chave do AWS KMS, adicione o bloco de política a seguir à entidade do IAM:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:Region:account_ID:key/key_ARN"
    ]
}

Caso ainda não tenha feito isso, conclua esse procedimento e adicione permissões kms:Decrypt para a chave do AWS KMS.

Use o procedimento a seguir para configurar a função Amazon-GlueServiceRoleForSSM com permissões kms:Decrypt para a chave AWS KMS.

Consultar dados na página de visualização detalhada do inventário

Use o procedimento a seguir para visualizar os dados do inventário de várias Regiões da AWS e Contas da AWS na página Detailed Inventory View (Visualização detalhada do inventário) no Systems Manager Inventory.

Você pode usar o botão Export to CSV (Exportar para CSV) para visualizar a consulta atual definida em um aplicativo de planilha, como o Microsoft Excel. Você também pode usar os botões Query History (Histórico de consultas) e Run Advanced Queries (Executar consultas avançadas) para visualizar detalhes do histórico e interagir com os dados no Amazon Athena.

Editar a programação do crawler do AWS Glue

Por padrão, o AWS Glue rastreia os dados de inventário no bucket central do Amazon S3 duas vezes por dia. Se você costuma alterar os tipos de dados a serem coletados em seus nós, você pode querer rastrear os dados com mais frequência, conforme descrito no procedimento a seguir.