Création d'une source de données Amazon Managed Service pour Prometheus

Pour créer une source de données Amazon Managed Service for Prometheus, vous avez besoin d'un espace de travail actif et d'un rôle IAM qui OpenSearch accorde au Service les autorisations nécessaires pour interroger vos statistiques.

Conditions préalables

Avant de connecter la source de données, assurez-vous que vous disposez des éléments suivants :

• Espace de travail Prometheus — Un service géré par Amazon actif pour l'espace de travail Prometheus. Notez votre identifiant d'espace de travail et celui dans lequel Région AWS il se trouve.

• Rôle IAM : rôle doté Gestion des identités et des accès AWS d'une politique de confiance qui permet au principal du directquery.opensearchservice.amazonaws.com service de l'assumer.

Connexion de la source de données

Une fois les conditions requises remplies, vous pouvez connecter la source de données à l'aide de la console OpenSearch de service.

Pour configurer une source de données Amazon Managed Service pour Prometheus

1. Accédez à la console Amazon OpenSearch Service à l'adressehttps://console.aws.amazon.com/aos/.

2. Dans le volet de navigation de gauche, accédez à Gestion centrale et choisissez Sources de données connectées.

3. Choisissez Connecter une nouvelle source de données.

4. Choisissez Amazon Managed Service for Prometheus comme type de source de données.

5. Choisissez Suivant.

6. Sous Détails de la connexion aux données, entrez un nom et une description facultative.

7. Sous Rôles IAM, choisissez le mode de gestion de l'accès :

   • Pour créer automatiquement un rôle pour cette source de données :

     1. Sélectionnez Créer un nouveau rôle.

     2. Saisissez un nom pour le rôle IAM.

     3. Sélectionnez un ou plusieurs espaces de travail pour définir les données qui peuvent être consultées.

   • Pour utiliser un rôle existant que vous gérez vous-même :

     1. Sélectionnez Utiliser un rôle existant.

     2. Sélectionnez un rôle existant dans le menu déroulant.

   Note

   Lorsque vous utilisez votre propre rôle, assurez-vous qu'il dispose de toutes les autorisations nécessaires en joignant les politiques requises depuis la console IAM. Pour de plus amples informations, veuillez consulter Autorisations requises pour les rôles IAM créés manuellement.

8. (Facultatif) Sous Politique d'accès, configurez une politique d'accès pour la source de données. Les politiques d'accès contrôlent si une demande adressée à la source de données de requête directe du OpenSearch Service est acceptée ou rejetée. Si vous ne configurez pas de politique d'accès, seul le propriétaire de la source de données y a accès. Vous pouvez configurer la politique d'accès pour activer l'accès entre comptes, permettant ainsi aux principaux d'autres utilisateurs d'accéder Comptes AWS à la source de données.

   Vous pouvez créer une politique d'accès à l'aide de l'éditeur visuel ou en fournissant un document de politique JSON. Avec l'éditeur visuel, vous pouvez autoriser ou refuser l'accès en spécifiant un Compte AWS identifiant principal, un ARN de compte, un ARN d'utilisateur IAM, un ARN de rôle IAM, une adresse IP source ou un bloc CIDR. L'éditeur visuel prend en charge jusqu'à 10 éléments. Pour définir une politique comportant plus de 10 éléments, utilisez l'éditeur JSON.

   Vous pouvez également choisir la stratégie d'importation pour importer une politique d'accès existante depuis une autre source de données.

9. (Facultatif) Sous Balises, ajoutez des balises à votre source de données.

10. Choisissez Suivant.

11. Sous Configuration OpenSearch, choisissez le mode de configuration de l' OpenSearch interface utilisateur :

    1. Si aucune application d' OpenSearch interface utilisateur n'existe dans votre compte, créez une nouvelle OpenSearch application. Si une OpenSearch application existe déjà, sélectionnez-la.

    2. Si vous créez une nouvelle application, créez un nouvel espace de travail d'observabilité. Si vous avez sélectionné une application existante, créez un nouvel espace de travail d'observabilité ou sélectionnez-en un existant. Amazon Managed Service for Prometheus est uniquement disponible dans l'espace de travail d'observabilité.

12. Choisissez Suivant.

13. Passez en revue vos choix et choisissez Modifier si vous devez apporter des modifications.

14. Choisissez Connect pour configurer la source de données. Restez sur cette page pendant la création de votre source de données. Lorsque c'est prêt, vous êtes redirigé vers la page de détails de la source de données.

Étapes suivantes

OpenSearch Interface utilisateur de visite

Une fois que vous avez créé une source de données, OpenSearch Service vous fournit une URL d'application d' OpenSearch interface utilisateur. Vous l'utilisez pour configurer qui a accès à l' OpenSearch interface utilisateur et pour analyser vos données Amazon Managed Service for Prometheus à l'aide de Discover Metrics with ProMQL.

Ressources supplémentaires

Autorisations requises pour les rôles IAM créés manuellement

Lorsque vous créez une source de données, vous choisissez un rôle IAM pour gérer l'accès à vos données. Vous avez deux options :

• Création automatique d'un nouveau rôle IAM

• Utiliser un rôle IAM existant que vous avez créé manuellement

Si vous utilisez un rôle créé manuellement, vous devez lui attribuer les autorisations appropriées. Les autorisations doivent autoriser l'accès à la source de données spécifique et permettre au OpenSearch Service d'assumer le rôle. Cela est nécessaire pour que le OpenSearch Service puisse accéder à vos données et interagir avec celles-ci en toute sécurité.

L'exemple de politique suivant illustre les autorisations de moindre privilège requises pour créer et gérer une source de données. Si vous disposez d'autorisations plus larges, telles que aps:* la AdministratorAccess politique, ces autorisations incluent les autorisations de moindre privilège indiquées dans l'exemple de politique.

Dans l'exemple de politique suivant, remplacez le placeholder texte par vos propres informations.

Exemple de politique IAM

Associez les autorisations suivantes à votre rôle IAM pour permettre au OpenSearch Service de récupérer les métadonnées des métriques et d'exécuter des requêtes :

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AmazonOpenSearchDirectQueryPrometheusAccess",
            "Effect": "Allow",
            "Action": [
                "aps:DeleteAlertManagerSilence",
                "aps:GetAlertManagerSilence",
                "aps:GetAlertManagerStatus",
                "aps:GetLabels",
                "aps:GetMetricMetadata",
                "aps:GetSeries",
                "aps:ListAlertManagerAlertGroups",
                "aps:ListAlertManagerAlerts",
                "aps:ListAlertManagerReceivers",
                "aps:ListAlertManagerSilences",
                "aps:ListAlerts",
                "aps:QueryMetrics",
                "aps:PutAlertManagerSilences",
                "aps:DescribeAlertManagerDefinition",
                "aps:CreateRuleGroupsNamespace",
                "aps:DeleteRuleGroupsNamespace",
                "aps:ListRuleGroupsNamespaces",
                "aps:DescribeRuleGroupsNamespace",
                "aps:PutRuleGroupsNamespace"
            ],
            "Resource": "arn:aws:aps:region:account-id:workspace/workspace-id",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "directquery.opensearchservice.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AmazonOpenSearchDirectQueryPrometheusListAccess",
            "Effect": "Allow",
            "Action": [
                "aps:ListWorkspaces"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "directquery.opensearchservice.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Exemple de politique de confiance

Associez la politique de confiance suivante à votre rôle IAM :

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "TrustPolicyForAmazonOpenSearchDirectQueryService",
            "Effect": "Allow",
            "Principal": {
                "Service": "directquery.opensearchservice.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:opensearch:region:account-id:datasource/data-source-name"
                },
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}