Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Cross-account Console per più regioni CloudWatch

La CloudWatch console multiaccount e interregionale ti consente di passare facilmente da un account all'altro e alla regione utilizzando i selettori nella console per visualizzare i dashboard, gli allarmi e le metriche di altri account e regioni. Questa funzionalità consente anche di creare dashboard per più account e più regioni che riepilogano le CloudWatch metriche di più AWS account e più regioni in un'unica dashboard, rendendole accessibili senza dover cambiare account o regione.

Molte organizzazioni hanno le proprie AWS risorse distribuite in più account, per fornire limiti di fatturazione e sicurezza. In questo caso, ti consigliamo di designare uno o più account come account di monitoraggio e di creare dashboard interregionali tra più account in tali account. Cross-account La funzionalità della console per più regioni è integrata con AWS Organizations, per aiutarti a creare in modo efficiente i tuoi dashboard interregionali tra account.

L'esperienza di CloudWatch console tra account e aree geografiche non offre la visibilità dei log tra account e aree geografiche. Inoltre, non supporta la creazione di allarmi sulle metriche di altri account o Regioni dall'interno di un account di monitoraggio.

Abilitazione della funzionalità interregionale tra account in CloudWatch

Per configurare la funzionalità interregionale tra account nella CloudWatch console, utilizza la CloudWatch console per configurare gli account di condivisione e gli account di monitoraggio.

Configurazione di un account di condivisione

È necessario abilitare la condivisione in ogni account che renderà i dati disponibili per l'account di monitoraggio.

In questo modo verranno concesse autorizzazioni di sola lettura che hai scelto nel passaggio 5 a tutti gli utenti che visualizzano un pannello di controllo tra più account nell'account con cui è attiva la condivisione, se l'utente ha le autorizzazioni corrispondenti nell'account con è attiva la condivisione.

Condivisione con un'intera organizzazione

Completando la procedura precedente viene creato un ruolo IAM che consente all'account di condividere i dati con un account. È possibile creare o modificare un ruolo IAM che condivide i dati con tutti gli account di un'organizzazione. Eseguire questa operazione solo se si conoscono e si considerano attendibili tutti gli account dell'organizzazione.

In questo modo verranno concesse autorizzazioni di sola lettura elencate nelle policy mostrate nel passaggio 5 a tutti gli utenti che visualizzano un pannello di controllo tra più account nell'account con cui è attiva la condivisione, se l'utente ha le autorizzazioni corrispondenti nell'account con è attiva la condivisione.

Configurazione di un account di monitoraggio

Abilita ogni account di monitoraggio se desideri visualizzare i CloudWatch dati di più account.

Una volta completata la procedura seguente, CloudWatch crea un ruolo di servizio da CloudWatch utilizzare nell'account di monitoraggio per accedere ai dati condivisi dagli altri account. Questo ruolo di servizio viene chiamato ServiceRoleForCloudWatchCrossAccountV2.

Dopo aver completato questa configurazione, è possibile creare pannelli di controllo su più account. Per ulteriori informazioni, consulta Creazione di un pannello di controllo personalizzato CloudWatch.

Cross-Region funzionalità

Cross-Region la funzionalità è integrata automaticamente in questa funzionalità. Non è necessario eseguire ulteriori passaggi per poter visualizzare le metriche di diverse regioni in un unico account sullo stesso grafico o sulla stessa dashboard. Cross-Region la funzionalità non è supportata per gli allarmi, quindi non puoi creare un allarme in una regione che controlli una metrica in un'altra regione.

(Facoltativo) Effettua l'integrazione con AWS Organizations

Se si desidera integrare la funzionalità tra account AWS Organizations, è necessario creare un elenco di tutti gli account dell'organizzazione a disposizione degli account di monitoraggio.

Risoluzione dei problemi relativi alla CloudWatch configurazione di più account

Questa sezione contiene suggerimenti per la risoluzione dei problemi relativi alla distribuzione di console su più account in CloudWatch.

Monitoraggio delle autorizzazioni dell'account per l'accesso da più account

Per accedere correttamente a un'azione negli account di origine, l'utente dell'account di monitoraggio deve disporre dell'autorizzazione equivalente per tutte le risorse (*) per quell'azione nell'account di monitoraggio. Si tratta di un requisito di autorizzazione locale nell'account di monitoraggio e non è correlato alle autorizzazioni relative al ruolo di condivisione tra account negli account di origine.

Esempio

Per avviare una query Logs in un account di origine, è necessario disporre dell'accesso con wildcard (*) nell'account di StartQuery monitoraggio. Il ruolo interaccount dell'account di origine può comunque limitare l'accesso a gruppi di log specifici.

Supportato - risorsa wildcard:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "*"
}

Non supportato - ARN specifico:

{
  "Effect": "Allow",
  "Action": "logs:StartQuery",
  "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/my-function:*"
}

Disabilitazione e pulizia dopo l'utilizzo di più account

Per disabilitare la funzionalità tra account per CloudWatch, segui questi passaggi.

Passaggio 1: rimuovere gli stack o i ruoli di più account

Il metodo migliore consiste nel rimuovere gli CloudFormation stack utilizzati per abilitare la funzionalità tra account.

Se non hai utilizzato gli CloudFormation stack per abilitare la funzionalità tra più account, procedi come segue:

Passaggio 2: rimuovere il ruolo di servizio

Nell'account di monitoraggio, elimina il ruolo del servizio ServiceRoleForCloudWatchCrossAccountV2IAM.