Erstellen einer Amazon Managed Service for Prometheus-Datenquelle

Um eine Amazon Managed Service for Prometheus-Datenquelle zu erstellen, benötigen Sie einen aktiven Workspace und eine IAM-Rolle, die OpenSearch Service die erforderlichen Berechtigungen zur Abfrage Ihrer Metriken gewährt.

Voraussetzungen

Bevor Sie die Datenquelle verbinden, stellen Sie sicher, dass Sie über Folgendes verfügen:

• Prometheus Workspace — Ein aktiver Amazon Managed Service für Prometheus Workspace. Notieren Sie sich Ihre Workspace-ID und die, in der AWS-Region sie sich befindet.

• IAM-Rolle — Eine AWS Identity and Access Management Rolle mit einer Vertrauensrichtlinie, die es dem directquery.opensearchservice.amazonaws.com Dienstprinzipal ermöglicht, sie zu übernehmen.

Verbindung zur Datenquelle herstellen

Wenn Ihre Voraussetzungen erfüllt sind, können Sie die Datenquelle mithilfe der OpenSearch Servicekonsole verbinden.

So richten Sie eine Amazon Managed Service for Prometheus-Datenquelle ein

1. Navigieren Sie zur Amazon OpenSearch Service-Konsole unterhttps://console.aws.amazon.com/aos/.

2. Gehen Sie im linken Navigationsbereich zu Central Management und wählen Sie Verbundene Datenquellen aus.

3. Wählen Sie Neue Datenquelle verbinden.

4. Wählen Sie Amazon Managed Service for Prometheus als Datenquellentyp.

5. Wählen Sie Weiter aus.

6. Geben Sie unter Datenverbindungsdetails einen Namen und eine optionale Beschreibung ein.

7. Wählen Sie unter IAM-Rollen aus, wie der Zugriff verwaltet werden soll:

   • So erstellen Sie automatisch eine Rolle für diese Datenquelle:

     1. Wählen Sie Neue Rolle erstellen aus.

     2. Geben Sie einen Namen für die IAM-Rolle ein.

     3. Wählen Sie einen oder mehrere Workspaces aus, um zu definieren, welche Daten abgefragt werden können.

   • Um eine bestehende Rolle zu verwenden, die Sie selbst verwalten:

     1. Wählen Sie Eine vorhandene Rolle verwenden aus.

     2. Wählen Sie eine bestehende Rolle aus dem Drop-down-Menü aus.

   Anmerkung

   Wenn Sie Ihre eigene Rolle verwenden, stellen Sie sicher, dass sie über alle erforderlichen Berechtigungen verfügt, indem Sie die erforderlichen Richtlinien von der IAM-Konsole aus anhängen. Weitere Informationen finden Sie unter Erforderliche Berechtigungen für manuell erstellte IAM-Rollen.

8. (Optional) Konfigurieren Sie unter Zugriffsrichtlinie eine Zugriffsrichtlinie für die Datenquelle. Zugriffsrichtlinien steuern, ob eine Anfrage an die OpenSearch Service-Direktabfrage-Datenquelle akzeptiert oder abgelehnt wird. Wenn Sie keine Zugriffsrichtlinie konfigurieren, hat nur der Eigentümer der Datenquelle Zugriff. Sie können die Zugriffsrichtlinie so konfigurieren, dass sie den kontoübergreifenden Zugriff ermöglicht, sodass Prinzipale anderer Benutzer AWS-Konten auf die Datenquelle zugreifen können.

   Sie können eine Zugriffsrichtlinie mithilfe des visuellen Editors oder durch Bereitstellung eines JSON-Richtliniendokuments erstellen. Mit dem Visual Editor können Sie den Zugriff zulassen oder verweigern, indem Sie eine AWS-Konto Prinzipal-ID, einen Konto-ARN, einen IAM-Benutzer-ARN, einen IAM-Rollen-ARN, eine Quell-IP-Adresse oder einen CIDR-Block angeben. Der visuelle Editor unterstützt bis zu 10 Elemente. Verwenden Sie den JSON-Editor, um eine Richtlinie mit mehr als 10 Elementen zu definieren.

   Sie können auch Richtlinie importieren wählen, um eine vorhandene Zugriffsrichtlinie aus einer anderen Datenquelle zu importieren.

9. (Optional) Fügen Sie Ihrer Datenquelle unter Tags Tags hinzu.

10. Wählen Sie Weiter aus.

11. Wählen Sie unter Einrichten aus OpenSearch, wie die OpenSearch Benutzeroberfläche eingerichtet werden soll:

    1. Wenn in Ihrem Konto keine OpenSearch UI-Anwendung vorhanden ist, erstellen Sie eine neue OpenSearch Anwendung. Wenn eine bestehende OpenSearch Anwendung vorhanden ist, wählen Sie sie aus.

    2. Wenn Sie eine neue Anwendung erstellen, erstellen Sie einen neuen Observability-Workspace. Wenn Sie eine vorhandene Anwendung ausgewählt haben, erstellen Sie einen neuen Observability-Workspace oder wählen Sie einen vorhandenen aus. Amazon Managed Service für Prometheus ist nur im Observability-Workspace verfügbar.

12. Wählen Sie Weiter aus.

13. Überprüfen Sie Ihre Auswahl und wählen Sie Bearbeiten, falls Sie Änderungen vornehmen müssen.

14. Wählen Sie Connect, um die Datenquelle einzurichten. Bleiben Sie auf dieser Seite, während Ihre Datenquelle erstellt wird. Wenn sie fertig ist, werden Sie zur Seite mit den Datenquellendetails weitergeleitet.

Nächste Schritte

Besuchen Sie die OpenSearch Benutzeroberfläche

Nachdem Sie eine Datenquelle erstellt haben, stellt Ihnen OpenSearch Service eine OpenSearch UI-Anwendungs-URL zur Verfügung. Sie verwenden dies, um zu konfigurieren, wer Zugriff auf die OpenSearch Benutzeroberfläche hat, und Ihre Amazon Managed Service for Prometheus-Daten mithilfe von Discover Metrics mit PromQL zu analysieren.

Weitere Ressourcen

Erforderliche Berechtigungen für manuell erstellte IAM-Rollen

Beim Erstellen einer Datenquelle wählen Sie eine IAM-Rolle aus, um den Zugriff auf Ihre Daten zu verwalten. Sie haben zwei Optionen:

• Erstellen Sie automatisch eine neue IAM-Rolle

• Verwenden Sie eine vorhandene IAM-Rolle, die Sie manuell erstellt haben

Wenn Sie eine manuell erstellte Rolle verwenden, müssen Sie der Rolle die richtigen Berechtigungen zuordnen. Die Berechtigungen müssen den Zugriff auf die spezifische Datenquelle ermöglichen und es dem OpenSearch Service ermöglichen, die Rolle zu übernehmen. Dies ist erforderlich, damit der OpenSearch Service sicher auf Ihre Daten zugreifen und mit ihnen interagieren kann.

Die folgende Beispielrichtlinie zeigt die Berechtigungen mit den geringsten Rechten, die zum Erstellen und Verwalten einer Datenquelle erforderlich sind. Wenn Sie über umfassendere Berechtigungen verfügen, wie z. aps:* B. die AdministratorAccess Richtlinie, umfassen diese Berechtigungen die Berechtigungen mit den geringsten Rechten in der Beispielrichtlinie.

Ersetzen Sie in der folgenden Beispielrichtlinie den placeholder Text durch Ihre eigenen Informationen.

Beispiel einer IAM-Richtlinie

Ordnen Sie Ihrer IAM-Rolle die folgenden Berechtigungen zu, damit OpenSearch Service Metrik-Metadaten abrufen und Abfragen ausführen kann:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AmazonOpenSearchDirectQueryPrometheusAccess",
            "Effect": "Allow",
            "Action": [
                "aps:DeleteAlertManagerSilence",
                "aps:GetAlertManagerSilence",
                "aps:GetAlertManagerStatus",
                "aps:GetLabels",
                "aps:GetMetricMetadata",
                "aps:GetSeries",
                "aps:ListAlertManagerAlertGroups",
                "aps:ListAlertManagerAlerts",
                "aps:ListAlertManagerReceivers",
                "aps:ListAlertManagerSilences",
                "aps:ListAlerts",
                "aps:QueryMetrics",
                "aps:PutAlertManagerSilences",
                "aps:DescribeAlertManagerDefinition",
                "aps:CreateRuleGroupsNamespace",
                "aps:DeleteRuleGroupsNamespace",
                "aps:ListRuleGroupsNamespaces",
                "aps:DescribeRuleGroupsNamespace",
                "aps:PutRuleGroupsNamespace"
            ],
            "Resource": "arn:aws:aps:region:account-id:workspace/workspace-id",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "directquery.opensearchservice.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AmazonOpenSearchDirectQueryPrometheusListAccess",
            "Effect": "Allow",
            "Action": [
                "aps:ListWorkspaces"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "directquery.opensearchservice.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Beispiel für eine Vertrauensrichtlinie

Fügen Sie Ihrer IAM-Rolle die folgende Vertrauensrichtlinie hinzu:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "TrustPolicyForAmazonOpenSearchDirectQueryService",
            "Effect": "Allow",
            "Principal": {
                "Service": "directquery.opensearchservice.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:opensearch:region:account-id:datasource/data-source-name"
                },
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}