Adicionar manualmente o CloudWatch como fonte de dados

Para adicionar manualmente o CloudWatch como fonte de dados

1. No menu lateral do console do Grafana, passe o mouse sobre o ícone de Configuração (engrenagem) e escolha Fontes de dados.

2. Escolha Adicionar fonte de dados.

3. Escolha a fonte de dados CloudWatch. Se necessário, você pode começar a digitar CloudWatch na caixa de pesquisa para ajudar a encontrá-lo.

Configurações do CloudWatch

As configurações do CloudWatch a seguir se aplicam.

Nome	Descrição
Name	O nome da fonte de dados. É assim que você vê a fonte de dados nos painéis e consultas.
Default	Designa a fonte de dados a ser pré-selecionada para novos painéis.
Default Region	Defina a região no editor de consultas. Pode ser alterado com base em cada consulta.
Namespaces of Custom Metrics	Especifica os namespaces do CloudWatch das métricas personalizadas. É possível incluir vários namespaces, separados por vírgulas.
Auth Provider	Especifica o provedor para obter as credenciais.
Assume Role Arn	Especifica o nome do recurso da Amazon (ARN) do perfil a considerar.
External ID	(Opcional) Especifica o ID externo. Use se você estiver considerando um perfil em outra Conta da AWS que tenha sido criada com um ID externo.
Timeout	Configure o tempo limite especificamente para consultas do CloudWatch Logs.
X-Ray trace links	Para adicionar links automaticamente aos logs quando o log contiver o campo @xrayTraceId, vincule uma fonte de dados X-Ray na seção Link de rastreamento do X-Ray da configuração da fonte de dados. Você já deve ter uma fonte de dados X-Ray configurada.

Autenticação

Para habilitar a autenticação entre o Amazon Managed Grafana e o CloudWatch, você pode usar o console do Amazon Managed Grafana para criar rapidamente as políticas e permissões necessárias. Como alternativa, você pode configurar manualmente a autenticação usando alguns dos mesmos métodos que usaria em um servidor Grafana autogerenciado.

Para usar a configuração da fonte de dados Amazon Managed Grafana para configurar rapidamente as políticas, siga as etapas em Usar a configuração da AWS de fonte de dados para adicionar o CloudWatch como fonte de dados.

Para configurar as permissões manualmente, use um dos métodos na seção a seguir.

Credenciais do AWS

Há três métodos de autenticação diferentes disponíveis.

• AWS SDK padrão: usa as permissões definidas no perfil anexado ao espaço de trabalho. Para ter mais informações, consulte Permissões gerenciadas pelo cliente.

• Acesso e chave secreta: corresponde ao StaticProvider do AWS SDK for Go. Usa o ID da chave de acesso e a chave secreta fornecidos para autenticação. Esse método não tem nenhum fallback e falhará se o par de chaves fornecido não funcionar.

Perfis do IAM

Atualmente, todo o acesso ao CloudWatch é feito no servidor pelo backend do Grafana usando o AWS SDK oficial. Se você escolher o método de autenticação com o AWS SDK padrão, e seu servidor Grafana estiver em execução na AWS, você poderá usar os perfis do IAM para lidar com a autenticação automaticamente.

Para obter mais informações, consulte os perfis do IAM.

Políticas do IAM

O Grafana precisa ter as permissões concedidas pelo IAM para poder ler as métricas do CloudWatch e tags, instâncias e regiões do EC2. Você pode anexar essas permissões aos perfis do IAM e usar o suporte integrado do Grafana para assumir perfis.

O código de exemplo a seguir mostra uma política mínima.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadingMetricsFromCloudWatch",
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarmsForMetric",
        "cloudwatch:DescribeAlarmHistory",
        "cloudwatch:DescribeAlarms",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetInsightRuleReport"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowReadingLogsFromCloudWatch",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups",
        "logs:GetLogGroupFields",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:GetQueryResults",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowReadingTagsInstancesRegionsFromEC2",
      "Effect": "Allow",
      "Action": ["ec2:DescribeTags", "ec2:DescribeInstances", "ec2:DescribeRegions"],
      "Resource": "*"
    },
    {
      "Sid": "AllowReadingResourcesForTags",
      "Effect": "Allow",
      "Action": "tag:GetResources",
      "Resource": "*"
    },
    {
      "Sid": "AllowReadingAcrossAccounts",
      "Effect": "Allow",
      "Action": [
        "oam:ListSinks",
        "oam:ListAttachedLinks"
      ],
      "Resource": "*"
    }
  ]
}

Assumir um perfil

O campo Assume Role ARN permite que você especifique qual perfil do IAM assumir, se houver. Se você mantiver esse campo em branco, as credenciais fornecidas serão usadas diretamente e o perfil ou o usuário associado deverá ter as permissões necessárias. Se esse campo não estiver em branco, as credenciais fornecidas serão usadas para realizar uma chamada de sts:AssumeRole.