查詢來自多個區域和帳戶的清查資料 - AWS Systems Manager

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

查詢來自多個區域和帳戶的清查資料

AWS Systems Manager庫存與 Amazon Athena 整合,協助您查詢來自多個 AWS 區域 和 AWS 帳戶 。Athena 整合使用資源資料同步,因此您可以在庫存明細檢視(位於) 頁面AWS Systems Manager主控台。

重要

此功能使用AWS Glue在 Amazon Simple Storage Service (Amazon S3) 儲存貯體中編目資料,並使用 Amazon AsseInventory AsseInventory 來查詢資料。視您所爬取和查詢的資料量而定,這些服務可能會向您收取使用費。使用 AWS Glue 需支付編目程式 (用來探索資料) 與 ETL 任務 (用來處理及載入資料) 的費用,以每小時費率按秒計費。透過 Athena,我們會根據每個查詢掃描的資料量向您收費。建議您先查看這些服務的定價準則,再使用 Amazon Athena 合與 Systems Manager 庫存。如需詳細資訊,請參閱「」Amazon Athena 定價AWS Glue定價

您可以檢視庫存明細檢視全部頁面 AWS 區域 ,Amazon Athena 可用。如需支援的區域清單,請參閱Amazon Athena Service 端點中的Amazon Web Services 一般參考

開始之前

Athena 整合使用資源資料同步。您必須設定和配置資源資料同步,才能使用這項功能。如需更多詳細資訊,請參閱 架構庫存的資源資料同步

另外,請注意,庫存明細檢視頁面會顯示owner資源資料同步使用的中央 Amazon S3 儲存貯體。如果您不是中央 Amazon S3 儲存貯體的擁有者,則無法在庫存明細檢視(憑證已建立!) 頁面上的名稱有些許差異。

設定存取權

在查詢及檢視來自多個帳戶和區域的資料前,請參閱庫存明細檢視頁面上,您必須設定您的AWS Identity and Access Management(IAM) 使用者帳戶。以下程序會說明如何使用 IAM 主控台來設定 IAM 使用者帳戶,讓您能夠在庫存明細檢視(憑證已建立!) 頁面上的名稱有些許差異。

設定清查詳細檢視頁面的存取權

  1. 在以下網址開啟 IAM 主控台:https://console.aws.amazon.com/iam/

  2. 在導覽窗格中,選擇 Users (使用者),接著選擇要設定的使用者帳戶。Summary (摘要) 頁面隨即開啟。

  3. Permissions (許可) 標籤上,選擇 Add permissions (新增許可)

  4. Grant permissions (授予許可) 頁面上,選擇 Attach existing policies directly (直接連接現有政策)

  5. 在搜尋欄位中,搜尋AWSQuicksightAthenaAccess

  6. 選擇此政策旁的選項,然後選擇下一頁: Review (檢閱)。

  7. 選擇 Add permissions (新增許可)。

  8. 再次選擇使用者名稱,以返回 Summary (摘要) 頁面。

  9. 請立即新增內嵌政策,讓 AWS Glue 可以爬取您的庫存資料。在許可標籤上,選擇新增內嵌政策Create policy (建立政策) 頁面隨即開啟。

  10. 請選擇 JSON 索引標籤。

  11. 刪除編輯器中的現有 JSON 文字,然後複製下列政策並貼至 JSON 編輯器。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:GetCrawlers", "glue:GetCrawler", "glue:GetTables", "glue:StartCrawler", "glue:CreateCrawler" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iam:PassRole", "iam:CreateRole", "iam:AttachRolePolicy" ], "Resource": [ "arn:aws:iam::account_ID:role/*" ] }, { "Effect": "Allow", "Action": [ "iam:CreatePolicy" ], "Resource": [ "arn:aws:iam::account_ID:policy/*" ] } ] }
    注意

    (選用) 如果用於存放庫存的 Amazon S3 儲存貯體是使用AWS Key Management Service(AWS KMS),則您也必須將下列區塊新增到政策。

    { "Effect": "Allow", "Action": [ "kms:Decrypt" ], "Resource": [ "arn:aws:kms:Region:account_ID:key/key_ARN" ] }

    如果您將此區塊貼在政策中最後一個區塊之後,請務必以逗號 (,) 分隔這些區塊。

  12. Review Policy (檢閱政策) 頁面的 Name (名稱) 欄位中,輸入一個名稱。

  13. 選擇 Create policy (建立政策)。

重要

當您選擇資源資料同步庫存明細檢視] 頁面上,Systems Manager 會自動建立Amazon Athena 葡萄膠保存軟體角色。此角色允許AWS Glue存取 Amazon S3 儲存貯體以進行資源資料同步。Systems Manager 會自動將下列政策連接至該角色:

  • 亞馬遜-膠粘劑政策-{Amazon S3 儲存貯體名稱}:此政策允許AWS Glue與 Systems Manager 清查。

  • AWSGlueServiceRole:這是一個AWS受管的政策,允許存取AWS Glue。

如果具有名稱的政策亞馬遜-膠粘劑政策-{Amazon S3 儲存貯體名稱}已存在於您的 IAM 使用者帳戶中,且此政策未附加至Amazon Athena 葡萄膠保存軟體角色,系統會傳回錯誤。若要解決此問題,請使用 IAM 主控台,以確認亞馬遜-膠粘劑政策-{Amazon S3 儲存貯體名稱}原則符合此程序中的內嵌原則。然後,將政策附加到 Amazon GlueServiceRoleForSSM 角色。

在清查詳細檢視頁面上查詢資料

依照下列程序來檢視多個 AWS 區域 和 AWS 帳戶 在 Systems Manager 清查詳細資訊檢視(憑證已建立!) 頁面上的名稱有些許差異。

重要

清查清單詳細資訊檢視頁面只能在 AWS 區域 提供 Amazon Athena。如果 Systems Manager 庫存頁面上並未顯示下列標籤,這表示並未在該區域中提供使用,且您無法使用詳細資訊檢視來查詢資料。


                            顯示 Inventory (清查) 儀表板 | Detailed View (詳細檢視) | Settings (設定) 標籤

在 AWS Systems Manager 主控台中檢視來自多個區域及帳戶的清查資料

  1. 開啟位於 https://console.aws.amazon.com/systems-manager/ 的 AWS Systems Manager 主控台。

  2. 在導覽窗格中,選擇清查

    -或-

    如果AWS Systems Manager首頁會先開啟,選擇功能表圖示 ( ) 開啟導覽窗格,然後選擇清查在導覽窗格中。

  3. 選擇 Detailed View (詳細檢視) 索引標籤。

    
                                正在存取AWS Systems Manager清查明細檢視頁面
  4. 選擇您要查詢資料的資源資料同步。

    
                                在清查資料中顯示清查AWS Systems Manager主控台
  5. Inventory Type (庫存類型) 清單中,選擇欲查詢的庫存資料類型,接著按 Enter 鍵。

    
                                在清查類型中選擇清查AWS Systems Manager主控台
  6. 若要篩選資料,請選取篩選條件列,並選擇篩選條件選項。

    
                                篩選清查資料AWS Systems Manager主控台

您能夠善用 Export to CSV (匯出至 CSV) 按鈕,以便在 Microsoft Excel 等試算表應用程式中檢視目前的查詢集。您也可以使用查詢歷史記錄執行進階查詢按鈕,在 Amazon Athena ventory 中檢視歷程記錄詳細資訊,並與您的資料互動。

編輯 AWS Glue 編目程式排程

AWS Glue根據預設,每天會爬取 Amazon S3 儲存貯體中的清查資料兩次。如果您經常變更執行個體上要收集的資料類型,可能會需要更頻繁地抓取資料,如以下程序所述。

重要

AWS Glue費用 AWS 帳戶 會向編目程式 (用來探索資料) 與 ETL 任務 (用來處理及載入資料) 的每小時費率,以每小時費率按秒計費。在您變更編目程式排程前,請查看 AWS Glue 定價頁面。

變更庫存資料的編目程式排程

  1. 開啟AWS Glue主控台位於https://console.aws.amazon.com/glue/

  2. 在導覽窗格中,選擇 Crawlers (編目程式)

  3. 在編目程式清單中,選擇 Systems Manager 庫存資料編目程式旁的選項。編目程式名稱需採用以下格式:

    AWSSystemsManager-DOC-EXAMPLE-BUCKET-Region-account_ID

  4. 選擇 Action (動作),然後選擇 Edit crawler (編輯編目程式)

  5. 在導覽窗格中,選擇 Schedule (排程)

  6. Cron expression (Cron 運算式) 欄位中,使用 Cron 格式來指定新排程。如需 cron 格式的詳細資訊,請參閱工作和編目程式以時間為基礎的排程中的AWS Glue開發人員指南

重要

您可以暫停使用編目程式,AWS Glue 便不會繼續產生費用。如果您暫停編目程式或變更執行頻率,使系統減少爬取資料的次數,則 Inventory詳細資訊檢視可能會顯示不是最新的資料。