Instalación del CloudWatch agente mediante Systems Manager Distributor y State Manager

Puede usar Systems Manager State Manager con Systems Manager Distributor para instalar y actualizar automáticamente el CloudWatch agente en los servidores e EC2 instancias. El distribuidor incluye el paquete AmazonCloudWatchAgent AWS gestionado que instala la versión más reciente del CloudWatch agente.

Este enfoque de instalación tiene los siguientes requisitos previos:

• El agente de Systems Manager debe estar instalado y en ejecución en sus servidores o EC2 instancias. El agente Systems Manager viene preinstalado en Amazon Linux y Amazon Linux 2, entre otros AMIs. El agente también debe estar instalado y configurado en otras imágenes o en servidores VMs y locales.

  nota

  Amazon Linux 2 está a punto de finalizar el soporte. Para obtener más información, consulte Amazon Linux 2 FAQs.

• Se debe adjuntar a la EC2 instancia o definir en el archivo de credenciales de un servidor local un rol o credenciales de IAM que tengan los permisos necesarios CloudWatch y de Systems Manager. Por ejemplo, puede crear un rol de IAM que incluya las políticas AWS administradas: AmazonSSMManagedInstanceCore para Systems Manager y CloudWatchAgentServerPolicy para CloudWatch. Puedes usar la AWS CloudFormation plantilla ssm-cloudwatch-instance-role.yaml para implementar un rol de IAM y un perfil de instancia que incluyan estas dos políticas. Esta plantilla también se puede modificar para incluir otros permisos de IAM estándar para tus instancias. EC2 Para servidores locales o VMs, debe configurar el CloudWatch agente para que utilice la función de servicio Systems Manager que se configuró para el servidor local. Para obtener más información al respecto, consulte ¿Cómo puedo configurar los servidores locales que utilizan el Agente de Systems Manager y el CloudWatch agente unificado para que usen solo credenciales temporales? en el Centro de AWS conocimiento.

La siguiente lista proporciona varias ventajas de utilizar el enfoque de distribuidor de Systems Manager y State Manager para instalar y mantener el CloudWatch agente:

• Instalación automática para varios sistemas OSs: no es necesario escribir ni mantener un script para cada sistema operativo para descargar e instalar el CloudWatch agente.

• Comprobaciones de actualización automáticas: State Manager comprueba de forma automática y periódica que cada EC2 instancia tenga la CloudWatch versión más reciente.

• Informes de conformidad: el panel de conformidad de Systems Manager muestra qué EC2 instancias no pudieron instalar correctamente el paquete Distributor.

• Instalación automática para las EC2 instancias recién lanzadas: EC2 las instancias nuevas que se lanzan a su cuenta reciben automáticamente el CloudWatch agente.

Sin embargo, también debe tener en cuenta las tres áreas siguientes antes de elegir este enfoque:

• Colisión con una asociación existente: si otra asociación ya instala o configura el CloudWatch agente, las dos asociaciones podrían interferir entre sí y provocar problemas. Al utilizar este enfoque, debe eliminar cualquier asociación existente que instale o actualice el CloudWatch agente y la configuración.

• Actualización de los archivos de configuración del agente personalizados: el distribuidor realiza una instalación mediante el archivo de configuración predeterminado. Si utiliza un archivo de configuración personalizado o varios archivos de CloudWatch configuración, debe actualizar la configuración después de la instalación.

• Configuración multirregional o multicuenta: la asociación de administradores estatales debe estar configurada en cada cuenta y región. Las cuentas nuevas en un entorno de múltiples cuentas deben actualizarse para incluir la asociación de administradores estatales. Debe centralizar o sincronizar la CloudWatch configuración para que varias cuentas y regiones puedan recuperar y aplicar los estándares requeridos.

Configure State Manager y Distributor para el despliegue y la configuración de los CloudWatch agentes

Puede usar Systems Manager Quick Setup para configurar rápidamente las funciones de Systems Manager, incluida la instalación y actualización automáticas del CloudWatch agente en sus EC2 instancias. La configuración rápida despliega una AWS CloudFormation pila que despliega y configura los recursos de Systems Manager en función de sus elecciones.

La siguiente lista proporciona dos acciones importantes que realiza Quick Setup para la instalación y actualización automatizadas de los CloudWatch agentes:

1. Crear documentos personalizados de Systems Manager: Quick Setup crea los siguientes documentos de Systems Manager para usarlos con State Manager. Los nombres de los documentos pueden variar, pero el contenido sigue siendo el mismo:

   • CreateAndAttachIAMToInstance— Crea el AmazonSSMRoleForInstancesQuickSetup rol y el perfil de instancia si no existen y adjunta la AmazonSSMManagedInstanceCore política al rol. Esto no incluye la política de CloudWatchAgentServerPolicy IAM requerida. Debe actualizar esta política y este documento de Systems Manager para incluir esta política, tal como se describe en la siguiente sección.

   • InstallAndManageCloudWatchDocument— Instala el CloudWatch agente con Distributor y configura cada EC2 instancia una vez con una configuración de CloudWatch agente predeterminada mediante el documento AWS-ConfigureAWSPackage Systems Manager.

   • UpdateCloudWatchDocument— Actualiza el CloudWatch agente instalando el CloudWatch agente más reciente mediante el documento AWS-ConfigureAWSPackage Systems Manager. Al actualizar o desinstalar el agente no se eliminan los archivos de CloudWatch configuración existentes de la EC2 instancia.

2. Crear asociaciones de administradores de estados: las asociaciones de administradores de estados se crean y configuran para usar los documentos de Systems Manager creados a medida. Los nombres de las asociaciones de administradores estatales pueden variar, pero la configuración sigue siendo la misma:

   • ManageCloudWatchAgent— Ejecuta el documento InstallAndManageCloudWatchDocument Systems Manager una vez para cada EC2 instancia.

   • UpdateCloudWatchAgent— Ejecuta el documento UpdateCloudWatchDocument Systems Manager cada 30 días para cada EC2 instancia.

   • Ejecuta el documento de CreateAndAttachIAMToInstance Systems Manager una vez para cada EC2 instancia.

Debe aumentar y personalizar la configuración de configuración rápida completa para incluir CloudWatch permisos y admitir CloudWatch configuraciones personalizadas. En particular, será necesario actualizar el InstallAndManageCloudWatchDocument documento CreateAndAttachIAMToInstance y el documento. Puede actualizar manualmente los documentos de Systems Manager creados por Quick Setup. Como alternativa, puede usar su propia CloudFormation plantilla para aprovisionar los mismos recursos con las actualizaciones necesarias, así como configurar e implementar otros recursos de Systems Manager y no usar Quick Setup.

importante

La configuración rápida crea una AWS CloudFormation pila para implementar y configurar los recursos de Systems Manager en función de sus elecciones. Si actualiza las opciones de configuración rápida, es posible que tenga que volver a actualizar manualmente los documentos de Systems Manager.

En las siguientes secciones se describe cómo actualizar manualmente los recursos de Systems Manager creados por Quick Setup, así como utilizar su propia AWS CloudFormation plantilla para realizar una Quick Setup actualizada. Le recomendamos que utilice su propia AWS CloudFormation plantilla para evitar actualizar manualmente los recursos creados por Quick Setup y AWS CloudFormation.

Utilice la configuración rápida de Systems Manager y actualice manualmente los recursos de Systems Manager creados

Los recursos de Systems Manager creados por el enfoque de configuración rápida deben actualizarse para incluir los permisos de CloudWatch agente necesarios y admitir varios archivos de CloudWatch configuración. En esta sección se describe cómo actualizar la función de IAM y los documentos de Systems Manager para utilizar un bucket S3 centralizado que contenga CloudWatch configuraciones accesibles desde varias cuentas. En la Administrar CloudWatch las configuraciones sección de esta guía se describe la creación de un bucket de S3 para almacenar los archivos de CloudWatch configuración.

Actualizar el documento CreateAndAttachIAMToInstance de Systems Manager

Este documento de Systems Manager creado por Quick Setup comprueba si una EC2 instancia tiene un perfil de instancia de IAM existente adjunto. Si lo tiene, adjunta la AmazonSSMManagedInstanceCore política al rol existente. Esto evita que las EC2 instancias existentes pierdan AWS los permisos que podrían asignarse a través de los perfiles de instancia existentes. Debe añadir un paso en este documento para adjuntar la política de CloudWatchAgentServerPolicy IAM a EC2 las instancias que ya tienen un perfil de instancia adjunto. El documento Systems Manager también crea el rol de IAM si no existe y una EC2 instancia no tiene un perfil de instancia adjunto. Debes actualizar esta sección del documento para incluir también la política de CloudWatchAgentServerPolicy IAM.

Revise el documento de muestra CreateAndAttachIAMToInstance.yaml completo y compárelo con el documento creado por Quick Setup. Edite el documento existente para incluir los pasos y cambios necesarios. Según las opciones de configuración rápida, el documento creado por Quick Setup podría ser diferente del documento de muestra proporcionado, por lo que debe asegurarse de realizar los ajustes necesarios. El documento de muestra incluye la opción de configuración rápida para escanear las instancias a diario en busca de parches faltantes y, por lo tanto, incluye una política para el administrador de parches de Systems Manager.

Actualizar el documento InstallAndManageCloudWatchDocument de Systems Manager

Este documento de Systems Manager creado por Quick Setup instala el CloudWatch agente y lo configura con la configuración de CloudWatch agente predeterminada. La CloudWatch configuración predeterminada se alinea con el conjunto de métricas básico predefinido. Debe reemplazar el paso de configuración predeterminado y añadir pasos para descargar los archivos de CloudWatch configuración del bucket de CloudWatch configuración de S3.

Revise el documento actualizado con el InstallAndManageCloudWatchDocumentarchivo.yaml completo y compárelo con el documento creado por Quick Setup. El documento creado con la configuración rápida puede ser diferente, así que asegúrate de haber realizado los ajustes necesarios. Edite el documento existente para incluir los pasos y cambios necesarios.

AWS CloudFormation Utilícelo en lugar de Quick Setup

En lugar de utilizar Quick Setup, puede AWS CloudFormation utilizarla para configurar Systems Manager. Este enfoque le permite personalizar la configuración de Systems Manager de acuerdo con sus requisitos específicos. Este enfoque también evita las actualizaciones manuales de los recursos configurados de Systems Manager creados por Quick Setup para admitir CloudWatch configuraciones personalizadas.

La función de configuración rápida también utiliza AWS CloudFormation y crea un conjunto de AWS CloudFormation pilas para implementar y configurar los recursos de Systems Manager en función de sus elecciones. Antes de poder utilizar los conjuntos de AWS CloudFormation pilas, debe crear las funciones de IAM que se utilizan AWS CloudFormation StackSets para respaldar las implementaciones en varias cuentas o regiones. Quick Setup crea las funciones necesarias para respaldar las implementaciones en varias regiones o cuentas. AWS CloudFormation StackSets Debe cumplir los requisitos previos AWS CloudFormation StackSets si desea configurar e implementar los recursos de Systems Manager en varias regiones o en varias cuentas desde una sola cuenta y región. Para obtener más información al respecto, consulte los requisitos previos para las operaciones de conjuntos de pilas en la AWS CloudFormation documentación.

Consulte la AWS CloudFormation plantilla AWS- QuickSetup - SSMHost Mgmt.yaml para obtener una configuración rápida personalizada.

Debe revisar los recursos y las capacidades de la AWS CloudFormation plantilla y hacer los ajustes necesarios según sus necesidades. Debe controlar las versiones de la AWS CloudFormation plantilla que utiliza y probar los cambios de forma incremental para confirmar el resultado requerido. Además, debe realizar revisiones de seguridad en la nube para determinar si es necesario realizar algún ajuste de política en función de los requisitos de su organización.

Debe implementar la AWS CloudFormation pila en una sola cuenta de prueba y región, y realizar todos los casos de prueba necesarios para personalizar y confirmar el resultado deseado. A continuación, puede graduar el despliegue a varias regiones en una sola cuenta y, después, a varias cuentas y regiones.

Configuración rápida personalizada en una sola cuenta y región con una AWS CloudFormation pila

Si solo usa una cuenta y una región, puede implementar el ejemplo completo como una AWS CloudFormation pila en lugar de como un conjunto de AWS CloudFormation pilas. Sin embargo, si es posible, te recomendamos que utilices el enfoque de conjuntos apilados con varias cuentas y regiones, aunque solo utilices una sola cuenta y región. Su uso AWS CloudFormation StackSets facilita la expansión a cuentas y regiones adicionales en el futuro.

Siga los siguientes pasos para implementar la AWS CloudFormation plantilla AWS- QuickSetup - SSMHost Mgmt.yaml como una AWS CloudFormation pila en una sola cuenta y: Región de AWS

1. Descargue la plantilla y compruébela en su sistema de control de versiones preferido (por ejemplo,). GitHub

2. Personalice los valores de los AWS CloudFormation parámetros predeterminados en función de los requisitos de su organización.

3. Personalice los horarios de la asociación de directores estatales.

4. Personalice el documento de Systems Manager con el identificador InstallAndManageCloudWatchDocument lógico. Confirme que los prefijos del bucket de S3 se alinean con los prefijos del bucket de S3 que contiene su CloudWatch configuración.

5. Recupere y registre el nombre de recurso de Amazon (ARN) del bucket de S3 que contiene sus CloudWatch configuraciones. Para obtener más información al respecto, consulte la Administrar CloudWatch las configuraciones sección de esta guía. Hay disponible un ejemplo de cloudwatch-config-splantilla.yaml de 3 AWS CloudFormation compartimentos que incluye una política de compartimentos para proporcionar acceso de lectura a las cuentas. AWS Organizations

6. Implemente la AWS CloudFormation plantilla de configuración rápida personalizada en la misma cuenta que su bucket de S3:

   • Para el CloudWatchConfigBucketARN parámetro, introduzca el ARN del depósito S3.

   • Realice ajustes en las opciones de los parámetros en función de las capacidades que desee habilitar para Systems Manager.

7. Implemente una EC2 instancia de prueba con y sin una función de IAM para confirmar que la EC2 instancia funciona. CloudWatch

• Solicita la asociación AttachIAMToInstance de administradores estatales. Este es un manual de ejecución de Systems Manager que está configurado para ejecutarse según una programación. Las asociaciones de administradores de estado que utilizan manuales de ejecución no se aplican automáticamente a las nuevas EC2 instancias y se pueden configurar para que se ejecuten de forma programada. Para obtener más información, consulte Ejecución de automatizaciones con activadores mediante State Manager en la documentación de Systems Manager.

• Confirme que la EC2 instancia tenga asociada la función de IAM requerida.

• Confirme que el agente de Systems Manager funciona correctamente confirmando que la EC2 instancia está visible en Systems Manager.

• Confirme que el CloudWatch agente funciona correctamente consultando CloudWatch los registros y las métricas en función de las CloudWatch configuraciones de su bucket de S3.

Configuración rápida personalizada en varias regiones y cuentas con AWS CloudFormation StackSets

Si utiliza varias cuentas y regiones, puede implementar la AWS CloudFormation plantilla AWS- QuickSetup - SSMHost Mgmt.YAML como un conjunto de pilas. Debe cumplir los AWS CloudFormation StackSetrequisitos previos antes de usar los conjuntos de pilas. Los requisitos varían en función de si se despliegan conjuntos de pilas con permisos autogestionados o gestionados por el servicio.

Le recomendamos que implemente conjuntos de pilas con permisos administrados por el servicio para que las nuevas cuentas reciban automáticamente la configuración rápida personalizada. Debe implementar un conjunto de pilas gestionado por el servicio desde la cuenta de AWS Organizations administración o la cuenta de administrador delegado. Debe implementar el conjunto de pilas desde una cuenta centralizada utilizada para la automatización y que tenga privilegios de administrador delegados, en lugar de desde la cuenta de administración. AWS Organizations También le recomendamos que pruebe la implementación de su conjunto de conjuntos apilados dirigiéndose a una unidad organizativa (OU) de prueba con un número único o reducido de cuentas en una región.

1. Complete los pasos 1 a 5 de la Configuración rápida personalizada en una sola cuenta y región con una AWS CloudFormation pila sección de esta guía.

2. Inicie sesión en AWS Management Console, abra la AWS CloudFormation consola y seleccione Crear StackSet:

   • Selecciona La plantilla está lista y sube un archivo de plantilla. Cargue la AWS CloudFormation plantilla que personalizó según sus necesidades.

   • Especifique los detalles del conjunto de pilas:

     • Introduzca el nombre de un conjunto de pilas, por ejemplo,StackSet-SSM-QuickSetup.

     • Realice ajustes en las opciones de los parámetros en función de las capacidades que desee habilitar para Systems Manager.

     • Para el CloudWatchConfigBucketARN parámetro, introduzca el ARN del bucket S3 de su CloudWatch configuración.

     • Especifique las opciones del conjunto de pilas y elija si va a utilizar los permisos gestionados por el servicio con permisos autogestionados AWS Organizations o los permisos autogestionados.

       • Si elige permisos autogestionados, introduzca los detalles de la función de IAM AWSCloudFormationStackSetAdministrationRoley los detalles de la función de IAM AWSCloudFormationStackSetExecutionRole. El rol de administrador debe existir en la cuenta y el rol de ejecución debe existir en cada cuenta de destino

     • Para los permisos administrados por el servicio con AWS Organizations, le recomendamos que primero los implemente en una unidad organizativa de prueba en lugar de en toda la organización.

       • Elija si desea habilitar las implementaciones automáticas. Le recomendamos que elija Activado. Para el comportamiento de eliminación de cuentas, la configuración recomendada es Eliminar pilas.

     • Para los permisos autogestionados, introduce IDs la AWS cuenta de las cuentas que quieres configurar. Debe repetir este proceso para cada cuenta nueva si utiliza permisos autogestionados.

     • Introduzca las regiones en las que utilizará CloudWatch Systems Manager.

     • Confirme que la implementación se ha realizado correctamente consultando el estado del conjunto de pilas en la pestaña Operaciones y Instancias apiladas.

     • Compruebe que Systems Manager y CloudWatch que funcionen correctamente en las cuentas implementadas siguiendo el paso 7 de la Configuración rápida personalizada en una sola cuenta y región con una AWS CloudFormation pila sección de esta guía.

Consideraciones para configurar los servidores locales

El CloudWatch agente para servidores locales VMs se instala y configura mediante un enfoque similar al de las EC2 instancias. Sin embargo, en la siguiente tabla se incluyen las consideraciones que debe tener en cuenta al instalar y configurar el CloudWatch agente en servidores locales y. VMs

Dirija al CloudWatch agente a las mismas credenciales temporales utilizadas para Systems Manager.	Al configurar Systems Manager en un entorno híbrido que incluye servidores locales, puede activar Systems Manager con una función de IAM. Debe usar el rol creado para sus EC2 instancias, que incluye las políticas CloudWatchAgentServerPolicy yAmazonSSMManagedInstanceCore. Esto hace que el agente de Systems Manager recupere y escriba las credenciales temporales en un archivo de credenciales local. Puede apuntar la configuración del CloudWatch agente al mismo archivo. Puede usar el proceso de Configurar servidores locales que usan el agente de Systems Manager y el CloudWatch agente unificado para usar solo credenciales temporales en el AWS Knowledge Center. También puede automatizar este proceso definiendo un manual de automatización de Systems Manager y una asociación de State Manager independientes, y segmentando sus instancias locales con etiquetas. Al crear una activación de Systems Manager para sus instancias locales, debe incluir una etiqueta que identifique las instancias como instancias locales.
Considere la posibilidad de utilizar cuentas y regiones que tengan VPN o AWS Direct Connect acceso y. AWS PrivateLink	Puede usar AWS Direct Connect o AWS Virtual Private Network (AWS VPN) para establecer conexiones privadas entre las redes locales y su nube privada virtual (VPC). AWS PrivateLinkestablece una conexión privada a CloudWatch los registros con un punto final de VPC de interfaz. Este enfoque resulta útil si tiene restricciones que impiden que los datos se envíen a través de la Internet pública a un punto final de servicio público.
Todas las métricas deben incluirse en el archivo CloudWatch de configuración.	Amazon EC2 incluye métricas estándar (por ejemplo, el uso de la CPU), pero estas métricas deben definirse para las instancias locales. Puedes usar un archivo de configuración de plataforma independiente para definir estas métricas para los servidores locales y, a continuación, añadir la configuración a la configuración de CloudWatch métricas estándar de la plataforma.

Consideraciones sobre las instancias efímeras EC2

EC2 las instancias son temporales o efímeras si las aprovisionan Amazon EC2 Auto Scaling, Amazon EMR, Amazon EC2 Spot Instances o. AWS Batch EC2 Las instancias efímeras pueden generar una gran cantidad de CloudWatch transmisiones en un grupo de registros común sin información adicional sobre su origen en tiempo de ejecución.

Si usa EC2 instancias efímeras, considere agregar información contextual dinámica adicional en los nombres de los grupos de registros y de las secuencias de registro. Por ejemplo, puede incluir el ID de solicitud de la instancia puntual, el nombre del clúster de Amazon EMR o el nombre del grupo de Auto Scaling. Esta información puede variar en el caso de EC2 las instancias recién lanzadas y es posible que tenga que recuperarla y configurarla en tiempo de ejecución. Para ello, escriba un archivo de configuración del CloudWatch agente durante el arranque y reinicie el agente para incluir el archivo de configuración actualizado. Esto permite la entrega de registros y métricas para CloudWatch utilizar información dinámica sobre el tiempo de ejecución.

También debes asegurarte de que el CloudWatch agente envíe las métricas y los registros antes de que se cancelen las EC2 instancias efímeras. El CloudWatch agente incluye un flush_interval parámetro que se puede configurar para definir el intervalo de tiempo para vaciar los búferes de registros y métricas. Puede reducir este valor en función de la carga de trabajo, detener el CloudWatch agente y forzar a que los búferes se vacíen antes de que finalice la instancia. EC2

Utilizar una solución automatizada para implementar el agente CloudWatch

Si utiliza una solución de automatización (por ejemplo, Ansible o Chef), puede aprovecharla para instalar y actualizar automáticamente el CloudWatch agente. Si utiliza este enfoque, debe evaluar las siguientes consideraciones:

• Compruebe que la automatización abarque las versiones del sistema operativo compatibles OSs y las versiones del sistema operativo que usted admite. Si el script de automatización no es compatible con todos los de su organización OSs, debe definir soluciones alternativas para las no compatibles OSs.

• Compruebe que la solución de automatización compruebe periódicamente si hay actualizaciones y mejoras de los CloudWatch agentes. La solución de automatización debe comprobar periódicamente si hay actualizaciones del CloudWatch agente o desinstalar y volver a instalar el agente con regularidad. Puede utilizar la funcionalidad de un programador o de una solución de automatización para comprobar y actualizar el agente con regularidad.

• Compruebe que puede confirmar el cumplimiento de la instalación y la configuración del agente. Su solución de automatización debería permitirle determinar cuándo un sistema no tiene el agente instalado o cuándo el agente no funciona. Puede implementar una notificación o una alarma en su solución de automatización para realizar un seguimiento de las instalaciones y configuraciones fallidas.