Erstellen Sie IAM-Rollen und -Benutzer für die Verwendung mit dem Agenten CloudWatch - Amazon CloudWatch
Erlauben Sie dem CloudWatch Agenten, eine Richtlinie zur Aufbewahrung von Protokollen festzulegen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen Sie IAM-Rollen und -Benutzer für die Verwendung mit dem Agenten CloudWatch

Für den Zugriff auf AWS Ressourcen sind Berechtigungen erforderlich. Sie erstellen eine IAM-Rolle, einen IAM-Benutzer oder beides, um Berechtigungen zu erteilen, für die der CloudWatch Agent Metriken schreiben muss. CloudWatch Wenn Sie den Agenten auf Amazon-EC2-Instances verwenden, müssen Sie eine IAM-Rolle erstellen. Wenn Sie den Agenten auf On-Premises-Servern verwenden, müssen Sie einen IAM-Benutzer erstellen.

Anmerkung

Wir haben die folgenden Verfahren kürzlich geändert, indem die neuen, von Amazon erstellten Richtlinien CloudWatchAgentServerPolicy und CloudWatchAgentAdminPolicy verwendet werden, anstatt dass Kunden diese Richtlinien selbst erstellen müssen. Die von Amazon erstellten Richtlinien unterstützen für das Schreiben von Dateien zu und das Herunterladen von Dateien von Parameter Store nur Dateien, deren Namen mit AmazonCloudWatch- beginnen. Wenn Sie über eine CloudWatch Agentenkonfigurationsdatei verfügen, deren Dateiname nicht mit beginntAmazonCloudWatch-, können diese Richtlinien nicht verwendet werden, um die Datei in den Parameter Store zu schreiben oder aus dem Parameter Store herunterzuladen.

Wenn Sie den CloudWatch Agenten auf Amazon EC2 EC2-Instances ausführen möchten, gehen Sie wie folgt vor, um die erforderliche IAM-Rolle zu erstellen. Diese Rolle bietet Berechtigungen zum Lesen und Schreiben von Informationen aus der Instance. CloudWatch

Um die IAM-Rolle zu erstellen, die für die Ausführung des CloudWatch Agenten auf EC2-Instances erforderlich ist

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie links im Navigationsbereich Roles (Rollen) und dann Create Role (Rolle erstellen) aus.

  3. Stellen Sie sicher, dass unter Trusted entity type (Typ der vertrauenswürdigen Entität auswählen der AWS -Service ausgewählt ist.

  4. Wählen Sie für Anwendungsfall die Option EC2 unter Häufige Anwendungsfälle.

  5. Wählen Sie Weiter aus.

  6. Aktivieren Sie in der Liste der Richtlinien das Kontrollkästchen neben CloudWatchAgentServerPolicy. Verwenden Sie ggf. das Suchfeld, um die Richtlinie zu finden.

  7. (Optional) Wenn der Agent Traces an X-Ray sendet, müssen Sie der Rolle auch die AWSXRayDaemonWriteAccessRichtlinie geben. Suchen Sie dazu diese Richtlinie in der Liste und aktivieren Sie das Kontrollkästchen daneben.

  8. Wählen Sie Weiter aus.

  9. Geben Sie im Feld Rollenname einen Namen für die Rolle ein, z. CloudWatchAgentServerRoleB. Geben Sie optional eine Beschreibung dafür ein. Wählen Sie dann Create Role.

    Die Rolle wird jetzt erstellt.

  10. (Optional) Wenn der Agent Protokolle an Logs senden soll und Sie möchten, dass der Agent Aufbewahrungsrichtlinien für diese Protokollgruppen festlegen kann, müssen Sie der Rolle die logs:PutRetentionPolicy entsprechende Berechtigung hinzufügen. CloudWatch Weitere Informationen finden Sie unter Erlauben Sie dem CloudWatch Agenten, eine Richtlinie zur Aufbewahrung von Protokollen festzulegen.

Wenn Sie den CloudWatch Agenten auf lokalen Servern ausführen möchten, gehen Sie wie folgt vor, um den erforderlichen IAM-Benutzer zu erstellen.

Warnung

Für dieses Szenario sind IAM-Benutzer mit programmatischem Zugriff und langfristigen Anmeldeinformationen erforderlich, was ein Sicherheitsrisiko darstellt. Um dieses Risiko zu minimieren, empfehlen wir, diesen Benutzern nur die Berechtigungen zu gewähren, die sie für die Ausführung der Aufgabe benötigen, und diese Benutzer zu entfernen, wenn sie nicht mehr benötigt werden. Die Zugriffsschlüssel können bei Bedarf aktualisiert werden. Weitere Informationen finden Sie unter Aktualisieren von Zugriffsschlüsseln im IAM-Benutzerhandbuch.

So erstellen Sie den IAM-Benutzer, der für die Ausführung des CloudWatch Agenten auf lokalen Servern erforderlich ist

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Klicken Sie im Navigationsbereich links auf Benutzer und dann auf Benutzer hinzufügen.

  3. Geben Sie den Benutzernamen für den neuen Benutzer an.

  4. Wählen Sie Access key - Programmatic access (Zugriffsschlüssel – programmgesteuerter Zugriff) und Next: Permissions (Weiter: Berechtigungen) aus.

  5. Wählen Sie Vorhandene Richtlinien direkt zuordnen.

  6. Aktivieren Sie in der Liste der Richtlinien das Kontrollkästchen neben CloudWatchAgentServerPolicy. Verwenden Sie ggf. das Suchfeld, um die Richtlinie zu finden.

  7. (Optional) Wenn der Agent Traces zu X-Ray weiterleiten will, müssen Sie der Rolle auch die AWSXRayDaemonWriteAccessRichtlinie geben. Suchen Sie dazu diese Richtlinie in der Liste und aktivieren Sie das Kontrollkästchen daneben.

  8. Wählen Sie Weiter: Markierungen.

  9. Erstellen Sie optional Tags für den neuen IAM-Benutzer und wählen Sie dann Next: Review (Weiter: Prüfung) aus.

  10. Prüfen Sie, ob die richtigen Richtlinie aufgelistet ist, und klicken Sie auf Benutzer erstellen.

  11. Klicken Sie neben dem Namen des neuen Benutzers auf Show. Kopieren Sie den Zugriffsschlüssel und den geheimen Schlüssel in eine Datei, damit Sie sie bei der Installation des Agenten verwenden können. Klicken Sie auf Schließen.

Erlauben Sie dem CloudWatch Agenten, eine Richtlinie zur Aufbewahrung von Protokollen festzulegen

Sie können den CloudWatch Agenten so konfigurieren, dass er die Aufbewahrungsrichtlinie für Protokollgruppen festlegt, an die er Protokollereignisse sendet. Wenn Sie dies tun, müssen Sie der IAM-Rolle oder dem Benutzer, den der Agent verwendet, die Berechtigung logs:PutRetentionPolicy gewähren. Der Agent verwendet eine IAM-Rolle für die Ausführung auf Amazon-EC2-Instances und nutzt für On-Premises-Server einen IAM-Benutzer.

Um der IAM-Rolle des CloudWatch Agenten die Berechtigung zu erteilen, Richtlinien zur Aufbewahrung von Protokollen festzulegen

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im linken Navigationsbereich Roles aus.

  3. Geben Sie in das Suchfeld den Anfang des Namens der IAM-Rolle des CloudWatch Agenten ein. Das ist der Name, den Sie beim Erstellen der Rolle gewählt haben. Ein möglicher Name ist CloudWatchAgentServerRole.

    Wenn Sie die Rolle sehen, wählen Sie den Namen der Rolle aus.

  4. Wählen Sie auf der Registerkarte Berechtigungen die Optionen Berechtigungen hinzufügen und dann Create Inline Policy (Inline-Richtlinie erstellen) aus.

  5. Wählen Sie die Registerkarte JSON aus und kopieren Sie die folgende Richtlinie in das Feld. Dabei ersetzen Sie den Standard-JSON-Code im Feld:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "logs:PutRetentionPolicy",
      "Resource": "*"
    }
  ]
}

  6. Wählen Sie Richtlinie prüfen.

  7. Geben Sie für Name die Bezeichnung CloudWatchAgentPutLogsRetention oder etwas ähnliches ein und wählen Sie dann Create policy (Richtlinie erstellen) aus.

Um dem IAM-Benutzer des CloudWatch Agenten die Erlaubnis zu erteilen, Richtlinien zur Aufbewahrung von Protokollen festzulegen

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im linken Navigationsbereich Benutzer aus.

  3. Geben Sie in das Suchfeld den Anfang des Namens des IAM-Benutzers des CloudWatch Agenten ein. Das ist der Name, den Sie beim Erstellen des Benutzers gewählt haben.

    Wenn Sie den Benutzer sehen, wählen Sie den Namen des Benutzers aus.

  4. Wählen Sie auf der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Eingebundene Richtlinie hinzufügen).

  5. Wählen Sie die Registerkarte JSON aus und kopieren Sie die folgende Richtlinie in das Feld. Dabei ersetzen Sie den Standard-JSON-Code im Feld:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "logs:PutRetentionPolicy",
      "Resource": "*"
    }
  ]
}

  6. Wählen Sie Richtlinie prüfen.

  7. Geben Sie für Name die Bezeichnung CloudWatchAgentPutLogsRetention oder etwas ähnliches ein und wählen Sie dann Create policy (Richtlinie erstellen) aus.