查询多个区域和账户的清单数据

AWS Systems Manager Inventory 可与 Amazon Athena 集成，以帮助您查询来自多个 AWS 区域和 AWS 账户的清单数据。Athena 集成使用资源数据同步，以便您可以在 AWS Systems Manager 控制台中的 Detailed View（详细视图）页面上查看来自所有托管式节点的清单数据。

您可以在所有提供 Amazon Athena 的 AWS 区域 中的 Detailed View (详细视图) 页面上查看清单数据。有关受支持的区域列表，请参阅《Amazon Web Services 一般参考》中的 Amazon Athena Service Endpoints。

开始前的准备工作

Athena 集成使用资源数据同步。您必须设置并配置资源数据同步才能使用该功能。有关更多信息，请参阅 演练：使用资源数据同步聚合清单数据。

另请注意，Detailed View (详细视图) 页面将为资源数据同步使用的中央 Amazon S3 存储桶的拥有者显示清单数据。如果您不是中央 Amazon S3 存储桶的拥有者，则无法在 Detailed View (详细视图) 页面上查看清单数据。

配置访问权限

您必须将 IAM 实体配置为拥有查看数据的权限，然后才能在 Systems Manager 控制台中的详细视图页面上查询及查看来自多个账户和区域的数据。

如果清单数据存储在使用 AWS Key Management Service（AWS KMS）加密的 Amazon S3 存储桶中，您还必须配置 IAM 实体和 Amazon-GlueServiceRoleForSSM 服务角色，以便进行 AWS KMS 加密。

配置您的 IAM 实体以访问“详细视图”页面

下文介绍了在详细视图页面上查看清单数据所需的最低权限。

AWSQuicksightAthenaAccess 托管策略

以下 PassRole 和其他所需权限块

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGlue",
            "Effect": "Allow",
            "Action": [
                "glue:GetCrawler",
                "glue:GetCrawlers",
                "glue:GetTables",
                "glue:StartCrawler",
                "glue:CreateCrawler"
            ],
            "Resource": "*"
        },
        {
            "Sid": "iamPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "glue.amazonaws.com"
                }
            }
        },
        {
            "Sid": "iamRoleCreation",
           "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:iam::account_ID:role/*"
        },
        {
            "Sid": "iamPolicyCreation",
            "Effect": "Allow",
            "Action": "iam:CreatePolicy",
            "Resource": "arn:aws:iam::account_ID:policy/*"
        }
    ]
}

（可选）如果用于存储清单数据的 Amazon S3 存储桶使用 AWS KMS 进行加密，则您还必须将以下数据块添加到策略中。

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:Region:account_ID:key/key_ARN"
    ]
}

要提供访问权限，请为您的用户、组或角色添加权限：

（可选）配置查看 AWS KMS 加密数据的权限

如果用于存储清单数据的 Amazon S3 存储桶使用 AWS Key Management Service（AWS KMS）进行加密，则您必须将 IAM 实体和 Amazon-GlueServiceRoleForSSM 角色配置为拥有对 AWS KMS 密钥的 kms:Decrypt 权限。

开始前的准备工作

要提供对 AWS KMS 密钥的 kms:Decrypt 权限，请将以下策略块添加到您的 IAM 实体：

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:Region:account_ID:key/key_ARN"
    ]
}

如果您尚未这样做，请完成该过程，并添加对 AWS KMS 密钥的 kms:Decrypt 权限。

使用以下过程将 Amazon-GlueServiceRoleForSSM 角色配置为拥有对 AWS KMS 密钥的 kms:Decrypt 权限。

在清单详细视图页面上查询数据

使用以下过程可在 Systems Manager Inventory Detailed View (详细视图) 页面上查看来自多个 AWS 区域和 AWS 账户的清单数据。

您可以使用 Export to CSV (导出到 CSV) 按钮在电子表格应用程序（如 Microsoft Excel）中查看当前查询集。您也可以使用 Query History (查询历史记录) 和 Run Advanced Queries (运行高级查询) 按钮查看历史记录详细信息，并与 Amazon Athena 中的数据进行交互。

编辑 AWS Glue 爬网程序计划

预设情况下，AWS Glue 每天会爬取中央 Amazon S3 存储桶中的清单数据两次。如果您经常更改要在节点上收集的数据的类型，则可能需要更频繁地抓取数据，如以下过程中所述。