Intégration à Amazon EKS

CloudWatch les enquêtes peuvent utiliser des informations provenant directement de votre cluster Amazon EKS. Pour commencer, accordez d'abord l'accès au rôle Investigation Group IAM. Nous recommandons d'utiliser la politique d'accès automatique AmazonAIOpsAssistantPolicy qui accorde aux CloudWatch enquêtes l'accès aux ressources du cluster. En utilisant cette politique, vous recevrez automatiquement les mises à jour des politiques au fur et à mesure que de nouvelles fonctionnalités seront ajoutées.

Note

AmazonAIOpsAssistantPolicyest une politique d'accès. La politique d'identité qui autorise l'accès associé aux CloudWatch enquêtes est AIOpsAssistantPolicy.

Utilisez l'option de configuration avancée pour limiter l'accès fourni par la politique d'accès à un ensemble d'espaces de noms ou à l'ensemble du cluster. Vous pouvez également étendre l'accès en associant l'entrée d'accès à une autorisation RBAC du groupe Kubernetes. Pour plus d'informations, consultez la section Création d'entrées d'accès.

Configuration de l'entrée d'accès Amazon EKS (console)

Pour associer le rôle d'investigation AmazonAIOpsAssistantPolicy à l'aide de la console AWS de gestion, procédez comme suit :

1. Ouvrez la CloudWatch console et accédez à la page de configuration des enquêtes.

2. Dans la section Amazon EKS Access, sélectionnez l'option permettant de l'AmazonAIOpsAssistantPolicyassocier à votre rôle d'investigation.

3. Passez en revue les détails de la politique et confirmez l'association.

Pour personnaliser davantage l'étendue d'accès :

1. Cliquez sur Configuration avancée dans la section Amazon EKS Access.

2. Vous serez redirigé vers la console Amazon EKS.

3. Dans la console Amazon EKS, vous pouvez :

   1. Étendre la politique à des espaces de noms spécifiques

   2. Configurer la fonction de groupe pour un contrôle d'accès plus précis

Configuration des entrées Amazon EKS Access (CDK)

Pour configurer les entrées Amazon EKS Access à l'aide du AWS CDK, utilisez l'exemple de code suivant :

    const testAccessEntry = new AccessEntry(this, `test-access-entry`, {
        cluster: eksCluster,
        principal: investigationsIamRole.roleArn,
        accessPolicies: [
            AccessPolicy.fromAccessPolicyName('AmazonAIOpsAssistantPolicy', {
                accessScopeType: AccessScopeType.CLUSTER
            }),
        ],
    });
            

Amazon AIOps AssistantPolicy

La politique d'accès Amazon EKS fournit un accès complet en lecture seule aux ressources du cluster. AmazonAIOpsAssistantPolicy Les informations provenant de chaque ressource ne sont peut-être pas actuellement utilisées par CloudWatch les enquêtes.

    - apiGroups: [""]
      resources:
        - pods
        - pods/log
        - services
        - nodes
        - namespaces
        - events
        - persistentvolumes
        - persistentvolumeclaims
        - configmaps
      verbs:
        - get
        - list

    - apiGroups: ["apps"]
      resources:
        - deployments
        - replicasets
        - statefulsets
        - daemonsets
      verbs:
        - get
        - list

    - apiGroups: ["batch"]
      resources:
        - jobs
        - cronjobs
      verbs:
        - get
        - list

    - apiGroups: ["events.k8s.io"]
      resources:
        - events
      verbs:
        - get
        - list

    - apiGroups: ["networking.k8s.io"]
      resources:
        - ingresses
        - ingressclasses
      verbs:
        - get
        - list

    - apiGroups: ["storage.k8s.io"]
      resources:
        - storageclasses
      verbs:
        - get
        - list

    - apiGroups: ["metrics.k8s.io"]
      resources:
        - pods
        - nodes
      verbs:
        - get
        - list
            

Mises à jour d'Amazon AIOps AssistantPolicy

Modification	Description	Date
Ajouter une politique pour les CloudWatch enquêtes	Première version de AmazonAIOpsAssistantPolicy	9 août 2025