本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

跨帳戶跨區域 CloudWatch 主控台

透過跨帳戶跨區域 CloudWatch 主控台，您可以使用主控台中的選取器，檢視其他帳戶和區域中的儀表板、警示和指標，輕鬆在不同帳戶和區域之間切換。此功能也可讓您建立跨帳戶、跨區域儀表板，將多個 AWS 帳戶和多個區域的 CloudWatch 指標摘要為單一儀表板，使其可存取，而無需切換帳戶或區域。

許多組織在多個帳戶中部署 AWS 了資源，以提供帳單和安全性界限。在此情況下，我們建議您將一或多個帳戶指定為監控帳戶，並在這些帳戶中建立跨帳戶跨區域儀表板。跨帳戶跨區域主控台功能已與 整合 AWS Organizations，可協助您有效率地建置跨帳戶跨區域儀表板。

跨帳戶跨區域 CloudWatch 主控台體驗不提供日誌的跨帳戶跨區域可見性。此外，監控帳戶無法在其內部建立針對其他帳戶或區域中指標的警示。

在 CloudWatch 中啟用跨帳戶跨區域功能

若要在 CloudWatch 主控台中設定跨帳戶跨區域功能，請使用 CloudWatch 主控台來設定共用帳戶和監控帳戶。

設定共用帳戶

您必須在每個帳戶中啟用共用，讓資料可供監控帳戶使用。

如果使用者在您共用的帳戶中具有對應的許可，這會將您在步驟 5 中選擇的唯讀許可授予與您共用之帳戶中檢視跨帳戶儀表板的所有使用者。

與整個組織共用

完成前述程序會建立一個 IAM 角色，讓您的帳戶能夠與一個帳戶共用資料。您可以建立或編輯與組織中所有帳戶共用資料的 IAM 角色。請在您知道並信任組織中的所有帳戶時，才執行這項操作。

如果使用者在您共用的帳戶中具有對應的許可，這會將上一個程序步驟 5 中顯示的政策中列出的唯讀許可授予與您共用之帳戶中檢視跨帳戶儀表板的所有使用者。

設定監控帳戶

讓每個監控帳戶檢視跨帳戶 CloudWatch 資料。您可以使用 Amazon CloudWatch 主控台或 來啟用監控帳戶 AWS Cloud Development Kit (AWS CDK)。

設定監控帳戶後，您可以建立跨帳戶儀表板。如需詳細資訊，請參閱建立自訂 CloudWatch 儀表板。

使用主控台啟用監控帳戶

當您完成下列程序時，CloudWatch 會建立 CloudWatch 在監控帳戶中用來存取其他帳戶共用資料的服務角色。此服務角色稱為 ServiceRoleForCloudWatchCrossAccountV2。

使用 CDK 啟用監控帳戶

您也可以設定監控帳戶，而無需使用 主控台。將 ServiceRoleForCloudWatchCrossAccountV2 角色定義為基礎設施做為程式碼。當您管理多個監控帳戶時，請使用此方法。它會在所有角色中一致地部署角色。下列範例使用 TypeScript AWS CDK 中的 來定義具有所需信任政策和內嵌許可政策的角色：

import { Role, ServicePrincipal, PolicyDocument, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';

new Role(this, 'ServiceRoleForCloudWatchCrossAccountV2', {
  roleName: 'ServiceRoleForCloudWatchCrossAccountV2',
  assumedBy: new ServicePrincipal('cloudwatch-crossaccount.amazonaws.com'),
  description: 'Allows CloudWatch to assume the CloudWatch-CrossAccountSharingRole in sharing accounts.',
  inlinePolicies: {
    CrossAccountAccess: new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          actions: ['sts:AssumeRole'],
          resources: ['arn:aws:iam::*:role/CloudWatch-CrossAccountSharingRole'],
        }),
      ],
    }),
  },
});

此範例使用萬用字元資源，這是限制性最低的範圍。若要將監控帳戶限制為特定共用帳戶或組織，請變更resources陣列。您可以新增具有 aws:ResourceOrgID條件的 conditions 屬性。任一方法都符合下節中的其中一個內嵌政策。

若要一次將角色部署到多個帳戶，請使用 合成範本搭配 CloudFormation StackSets。堆疊集會在單一操作中跨多個帳戶和區域建立角色。堆疊集也會自動將角色部署到加入您組織的新帳戶。如需 CloudFormation StackSets 的詳細資訊，請參閱CloudFormation 《 使用者指南》中的使用 CloudFormation StackSets。

監控帳戶可存取的帳戶範圍

當您使用 AWS CDK 定義角色時，內嵌許可政策會授予sts:AssumeRole許可。CloudWatch 使用此許可來擔任共用帳戶中的 CloudWatch-CrossAccountSharingRole。若要遵循最低權限原則，請將 sts:AssumeRole 動作Resource的 限制為僅監控帳戶所需的帳戶。您可以透過下列方式限制存取範圍，從最嚴格到最不嚴格：

跨區域功能

此功能會自動提供跨區域功能。您不需要採取任何額外的步驟，即可在相同圖形或相同儀表板上的單一帳戶中顯示來自不同區域的指標。警示不支援跨區域功能，因此您無法在監看不同區域中指標的一個區域中建立警示。

（選用） 與 整合 AWS Organizations

如果您想要將跨帳戶功能與 整合 AWS Organizations，您必須將組織中所有帳戶的清單提供給監控帳戶。

對您的 CloudWatch 跨帳戶設定進行故障診斷

本節包含針對 CloudWatch 中的跨帳戶主控台部署的故障診斷秘訣。

監控跨帳戶存取的帳戶許可

若要成功存取來源帳戶中的動作，監控帳戶中的使用者必須具有監控帳戶中該動作之所有資源 (*) 的同等許可。這是監控帳戶中的本機許可要求，與來源帳戶中跨帳戶共用角色的許可無關。

範例

若要在來源帳戶中啟動 Logs 查詢，您必須擁有監控帳戶中 StartQuery 的萬用字元 (*) 存取權。來源帳戶的跨帳戶角色仍然可以限制對特定日誌群組的存取。

支援的 - 萬用字元資源：

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

不支援 - 特定 ARN：

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

使用跨帳戶後停用和清除

若要停用 CloudWatch 的跨帳戶功能，請遵循這些步驟。

步驟 1：移除跨帳戶堆疊或角色

最佳方法是移除用於啟用跨帳戶功能的 CloudFormation 堆疊。

如果您未使用 CloudFormation 堆疊來啟用跨帳戶功能，請執行下列動作：

步驟 2：移除服務角色

在監控帳戶中，刪除 ServiceRoleForCloudWatchCrossAccountV2 IAM 服務角色。