Integrazione con Amazon EKS

CloudWatch le indagini possono utilizzare le informazioni direttamente dal tuo cluster Amazon EKS. Per iniziare, concedi innanzitutto l'accesso al ruolo Investigation Group IAM. Consigliamo di utilizzare la politica di accesso fornito AmazonAIOpsAssistantPolicy che garantisce alle CloudWatch indagini l'accesso alle risorse del cluster. Utilizzando questa politica, riceverai automaticamente gli aggiornamenti delle politiche man mano che vengono aggiunte nuove funzionalità.

Nota

AmazonAIOpsAssistantPolicyè una politica di accesso. La politica di identità che autorizza l'accesso associato alle CloudWatch indagini è. AIOpsAssistantPolicy

Utilizzate l'opzione di configurazione avanzata per limitare l'accesso fornito dalla politica di accesso a un set di namespace o all'intero cluster. In alternativa, puoi limitare ulteriormente l'accesso associando la voce di accesso a un'autorizzazione RBAC del gruppo Kubernetes. Per ulteriori informazioni, consulta Creazione di voci di accesso.

Configurazione della voce di accesso Amazon EKS (console)

Per associarla AmazonAIOpsAssistantPolicy al ruolo di indagine utilizzando la console di AWS gestione, segui questi passaggi:

1. Apri la CloudWatch console e vai alla pagina di configurazione delle indagini.

2. Nella sezione Amazon EKS Access, seleziona l'opzione per associarlo al tuo ruolo investigativo. AmazonAIOpsAssistantPolicy

3. Rivedi i dettagli della politica e conferma l'associazione.

Per personalizzare ulteriormente l'ambito di accesso:

1. Fai clic su Configurazione avanzata nella sezione Amazon EKS Access.

2. Verrai reindirizzato alla console Amazon EKS.

3. Nella console Amazon EKS puoi:

   1. Ambita la policy in base a namespace specifici

   2. Configura la funzionalità di gruppo per un controllo degli accessi più granulare

Configurazione di Amazon EKS Access Entries (CDK)

Per configurare Amazon EKS Access Entries utilizzando il AWS CDK, utilizza il seguente esempio di codice:

    const testAccessEntry = new AccessEntry(this, `test-access-entry`, {
        cluster: eksCluster,
        principal: investigationsIamRole.roleArn,
        accessPolicies: [
            AccessPolicy.fromAccessPolicyName('AmazonAIOpsAssistantPolicy', {
                accessScopeType: AccessScopeType.CLUSTER
            }),
        ],
    });
            

Amazon AIOps AssistantPolicy

La politica di accesso di Amazon EKS fornisce un accesso completo in sola lettura alle risorse del cluster. AmazonAIOpsAssistantPolicy Le informazioni di ciascuna risorsa potrebbero non essere attualmente utilizzate da CloudWatch Investigations.

    - apiGroups: [""]
      resources:
        - pods
        - pods/log
        - services
        - nodes
        - namespaces
        - events
        - persistentvolumes
        - persistentvolumeclaims
        - configmaps
      verbs:
        - get
        - list

    - apiGroups: ["apps"]
      resources:
        - deployments
        - replicasets
        - statefulsets
        - daemonsets
      verbs:
        - get
        - list

    - apiGroups: ["batch"]
      resources:
        - jobs
        - cronjobs
      verbs:
        - get
        - list

    - apiGroups: ["events.k8s.io"]
      resources:
        - events
      verbs:
        - get
        - list

    - apiGroups: ["networking.k8s.io"]
      resources:
        - ingresses
        - ingressclasses
      verbs:
        - get
        - list

    - apiGroups: ["storage.k8s.io"]
      resources:
        - storageclasses
      verbs:
        - get
        - list

    - apiGroups: ["metrics.k8s.io"]
      resources:
        - pods
        - nodes
      verbs:
        - get
        - list
            

Aggiornamenti ad Amazon AIOps AssistantPolicy

Modifica	Descrizione	Data
Aggiungi una politica per le CloudWatch indagini	Versione iniziale di AmazonAIOpsAssistantPolicy	9 agosto 2025