Senden und Empfangen von Ereignissen zwischen AWS Konten bei Amazon EventBridge

Sie können in AWS Konten konfigurieren EventBridge , dass Ereignisse zwischen Eventbussen gesendet und empfangen werden. Wenn Sie das Senden oder Empfangen von Ereignissen zwischen Konten konfigurieren EventBridge , können Sie angeben, welche AWS Konten Ereignisse an den Event-Bus in Ihrem Konto senden oder von diesem empfangen können. Sie können auch Ereignisse aufgrund bestimmter Regeln, die mit dem Event Bus verknüpft sind, oder Ereignisse aus bestimmten Quellen zulassen oder verweigern. Weitere Informationen finden Sie unter Vereinfachung des kontoübergreifenden Zugriffs mit Amazon-Ressourcenrichtlinien EventBridge

Anmerkung

Wenn Sie diese Option verwenden AWS Organizations, können Sie eine Organisation angeben und Zugriff auf alle Konten in dieser Organisation gewähren. Außerdem müssen dem sendenden Eventbus IAM Rollen zugewiesen sein, wenn Ereignisse an ein anderes Konto gesendet werden. Weitere Informationen finden Sie unter Was ist AWS Organizations? im AWS Organizations -Benutzerhandbuch.

Anmerkung

Wenn Sie einen Incident-Manager-Antwortplan als Ziel verwenden, sind alle Antwortpläne, die mit Ihrem Konto geteilt wurden, standardmäßig verfügbar.

Sie können Ereignisse zwischen Eventbussen in AWS Konten innerhalb derselben Region in allen Regionen und zwischen Konten in verschiedenen Regionen senden und empfangen, sofern es sich bei der Zielregion um eine unterstützte regionsübergreifende Zielregion handelt.

Die Konfiguration für das Senden von Ereignissen EventBridge an oder das Empfangen von Ereignissen an einen Event-Bus in einem anderen Konto umfasst die folgenden Schritte:

• Bearbeiten Sie auf dem Empfängerkonto die Berechtigungen für einen Event-Bus, sodass bestimmte AWS Konten, eine Organisation oder alle AWS Konten Ereignisse an das Empfängerkonto senden können.

• Richten Sie im Sender-Konto eine oder mehrere Regeln ein, die den Standardereignisbus des Empfängers als Ziel besitzen.

  Wenn das Absenderkonto die Berechtigungen zum Senden von Ereignissen von einer AWS Organisation erbt, muss dem Absenderkonto auch eine IAM Rolle mit Richtlinien zugewiesen werden, die es ihm ermöglichen, Ereignisse an das Empfängerkonto zu senden. Wenn Sie die Regel verwenden, die AWS Management Console auf den Event-Bus im Empfängerkonto abzielt, wird die Rolle automatisch erstellt. Wenn Sie die verwenden AWS CLI, müssen Sie die Rolle manuell erstellen.

• Richten Sie auf dem Empfänger-Konto eine oder mehrere Regeln ein, die mit Ereignissen übereinstimmen, die vom Senderkonto kommen.

Ereignisse, die von einem Konto zu einem anderen gesendet werden, werden dem sendenden Konto als benutzerdefinierte Ereignisse in Rechnung gestellt. Das empfangende Konto wird nicht belastet. Weitere Informationen finden Sie unter EventBridge Amazon-Preise.

Falls ein Empfänger-Konto eine Regel festlegt, dass Ereignisse, die von einem Sender-Konto empfangen wurden, zu einem dritten Konto gesendet werden, werden diese Ereignisse jedoch nicht an das dritte Konto weitergeleitet.

Wenn Sie drei Event-Busse in demselben Konto haben und für den ersten Event-Bus eine Regel einrichten, nach der Events vom zweiten Event-Bus an einen dritten Event-Bus weitergeleitet werden, werden diese Events nicht an den dritten Event-Bus gesendet.

Das folgende Video behandelt die Weiterleitung von Ereignissen zwischen Konten:

Erteilen Sie Berechtigungen, um Ereignisse von anderen AWS Konten zuzulassen

Wenn Sie Ereignisse aus anderen Konten oder Organisationen erhalten möchten, müssen Sie zuerst die Berechtigungen für den Standard-Event-Bus bearbeiten, in dem Sie Ereignisse empfangen möchten. Der Standard-Event-Bus akzeptiert Ereignisse von AWS Diensten, anderen autorisierten AWS Konten und PutEvents Aufrufen. Die Berechtigungen für einen Event Bus werden mithilfe einer ressourcenbasierten Richtlinie, die an den Event Bus angehängt ist, gewährt oder verweigert. In der Richtlinie können Sie anderen AWS Konten mithilfe der Konto-ID oder einer AWS Organisation mithilfe der Organisations-ID Berechtigungen gewähren. Weitere Informationen zu Event-Bus-Berechtigungen, einschließlich Beispielrichtlinien, finden Sie unter Genehmigungen für Eventbusse bei Amazon EventBridge.

Anmerkung

EventBridge erfordert jetzt, dass alle neuen kontoübergreifenden Event-Bus-Ziele IAM Rollen hinzufügen. Dies gilt nur für Event-Bus-Ziele, die nach dem 2. März 2023 erstellt wurden. Anwendungen, die vor diesem Datum ohne IAM Rolle erstellt wurden, sind nicht betroffen. Es wird jedoch empfohlen, IAM Rollen hinzuzufügen, um Benutzern Zugriff auf Ressourcen in einem anderen Konto zu gewähren, da dadurch sichergestellt wird, dass die Unternehmensgrenzen mithilfe von Dienststeuerungsrichtlinien (SCPs) angewendet werden, um festzulegen, wer Ereignisse von Konten in Ihrer Organisation senden und empfangen kann.

Wichtig

Wenn Sie sich dafür entscheiden, Ereignisse von allen AWS Konten zu empfangen, achten Sie darauf, Regeln zu erstellen, die nur den Ereignissen entsprechen, die von anderen Konten empfangen werden sollen. Um sicherere Regeln zu erstellen, stellen Sie sicher, dass das Ereignismuster für jede Regel ein Account Feld mit dem Konto IDs eines oder mehrerer Konten enthält, von denen Ereignisse empfangen werden sollen. Regeln mit einem Ereignismuster, das das Feld „Account-(Konto)“ enthält, stimmen nicht mit Ereignissen überein, die von Konten gesendet wurden, die nicht im Feld Account aufgelistet werden. Weitere Informationen finden Sie unter Ereignisse bei Amazon EventBridge.

Regeln für Ereignisse zwischen AWS Konten

Wenn Ihr Konto so eingerichtet ist, dass Ereignisse von Eventbussen anderer AWS Konten empfangen werden, können Sie Regeln schreiben, die diesen Ereignissen entsprechen. Legen Sie das Ereignismuster der Regel so fest, dass es mit den Ereignissen, die Sie aus Event Buses im anderen Konto empfangen, übereinstimmt.

Wenn Sie account nicht im Ereignismuster einer Regel angeben, lösen alle neuen und vorhandenen Regeln Ihres Kontos, die mit Ereignissen, die Sie aus Event Buses in anderen Konten erhalten, übereinstimmen, auf Grundlage dieser Ereignisse aus. Wenn Sie Ereignisse aus Event Buses in einem anderen Konto empfangen und Sie möchten, dass eine Regel von diesem Ereignismuster nur dann ausgelöst wird, wenn es von Ihrem eigenen Konto generiert wurde, dann müssen Sie dem Ereignismuster der Regel account hinzufügen und Ihre eigene Konto-ID angeben.

Wenn du dein AWS Konto so einrichtest, dass Events von Eventbussen in allen AWS Konten akzeptiert werden, empfehlen wir dir dringend, alle EventBridge Regeln in deinem Konto account zu ergänzen. Dadurch wird verhindert, dass Regeln in Ihrem Konto bei Ereignissen von unbekannten AWS Konten ausgelöst werden. Wenn Sie das account Feld in der Regel angeben, können Sie das AWS Konto IDs mehrerer Konten in dem Feld angeben.

Damit eine Regel bei einem passenden Ereignis von einem beliebigen Eventbus in einem AWS Konto ausgelöst wird, für das Sie Berechtigungen erteilt haben, geben Sie im account Feld der Regel kein Sternchen (*) an. Da "*" niemals im Feld account eines Ereignisses erscheint, würden in diesem Fall keine Ereignisse gefunden werden. Lassen Sie stattdessen das Feld account in der Regel weg.

Regeln erstellen, die Ereignisse zwischen AWS Konten senden

Das Angeben eines Event Bus in einem anderen Konto als Ziel ist Teil der Regelerstellung.

Um eine Regel zu erstellen, die Ereignisse mithilfe der Konsole an ein anderes AWS Konto sendet

1. Befolgen Sie die Schritte im Verfahren Regeln erstellen, die auf Ereignisse in Amazon reagieren EventBridge.

2. Wenn Sie im Auswählen von Zielen-Schritt aufgefordert werden, einen Zieltyp auszuwählen, gehen Sie wie folgt vor:

   1. Wählen Sie den EventBridge Event-Bus aus.

   2. Wählen Sie Event Bus in einem anderen Konto oder einer anderen Region aus.

   3. Geben Sie für Event-Bus als Ziel den Namen ARN des Event-Busses ein, den Sie verwenden möchten.

3. Schließen Sie die Erstellung der Regel ab, indem Sie die Verfahrensschritte befolgen.