# 初始化网络流量监测仪进行多个账户监控
如果想在网络流量监测仪中监控不同账户所拥有资源的网络流，则必须先通过 Amazon Organizations 配置 Amazon CloudWatch。要在网络流量监测仪中使用多个账户，您需要为 CloudWatch 启用可信访问，最好还要注册委托管理员。
此外，如果计划通过控制台为网络流创建监测仪，则必须将网络流量监测仪策略添加到资源相关角色。该策略允许您在控制台中查看其他账户的资源，以便您将多个账户中的资源添加到一个监测仪中。
要监测不同账户所拥有资源的网络流，还需执行其他配置步骤。首先，作为管理账户，您必须通过 Amazon Organizations 配置 CloudWatch 来启用可信访问，并且通常还需注册委托管理员账户。然后，您可以使用委托管理员账户在组织中添加更多账户，将网络可观测性范围设置为包含这些账户中的资源。（您也可以使用管理账户添加多个账户，但在 Organizations 中，当您使用服务中的资源时，最佳做法是使用委托管理员账户。我们在此处的网络流量监测仪说明中提供了遵循该指导的步骤。）
请注意，如果不需要监控多个账户中实例的网络流，则可在单个账户中使用网络流量监测仪。网络流量监测仪的范围会自动设置为登录时所使用的 Amazon 账户。
请按照以下各节中的指导完成这些步骤。
**Topics**
+ [多个账户设置概述](#CloudWatch-NetworkFlowMonitor-multi-account.overview)
+ [配置 Amazon Organizations](#CloudWatch-NetworkFlowMonitor-multi-account.config-orgs)
+ [添加多个账户](#CloudWatch-NetworkFlowMonitor-multi-account.config-scope)
+ [为控制台添加权限](#CloudWatch-NetworkFlowMonitor-multi-account.console-perms)
## 在网络流量监测仪中使用多个账户的步骤概述
要开始使用网络流量监测仪，任何之前未使用过网络流量监测仪的账户都必须初始化网络流量监测仪。为账户初始化网络流量监测仪时，网络流量监测仪会添加所需的服务相关角色权限，并创建要包含在网络可观测性中的一个或多个账户范围。要在网络流量监测仪中使用多个账户，还需执行其他步骤：与 Amazon Organizations 集成，然后添加要使用的账户。
总之，您需要执行以下步骤：
1. 以管理账户身份登录 Amazon Web Services 管理控制台，然后执行以下操作：
+ 完成在 CloudWatch 中与 Amazon Organizations 集成所需的步骤。
1. 以委托管理员账户身份登录 Amazon Web Services 管理控制台，然后执行以下操作：
+ 初始化网络流量监测仪，包括添加要包含在范围内的账户。
+ 添加从控制台访问其他账户中的资源所需的权限。
如果要将网络流量监测仪设置为使用多个账户，但不熟悉 Amazon Organizations，请查看以下资源，从中了解管理账户、可信访问和委托管理员账户等概念，学习如何将 Organizations 与 CloudWatch 集成。
+ 《Amazon Organizations User Guide》中的 [Managing accounts in an organization with Amazon Organizations](https://docs.amazonaws.cn/organizations/latest/userguide/orgs_manage_accounts.html)。
+ 《Amazon Organizations User Guide》中的 [Amazon CloudWatch and Amazon Organizations](https://docs.amazonaws.cn/organizations/latest/userguide/services-that-can-integrate-cloudwatch.html)。
要获得为多个账户配置网络流量监测仪的具体指导，请按照以下各节中的步骤进行操作。
## 在 CloudWatch 中配置 Amazon Organizations
要通过 Amazon Organizations 配置网络流量监测仪，请登录管理账户，再为 CloudWatch 启用可信访问。然后，注册委托管理员账户，用于初始化网络流量监测仪和添加多个账户。
如果您已在 CloudWatch 中配置 Organizations，为 CloudWatch 中的 Organizations 启用了可信访问并注册了委托管理员账户，则无需为网络流量监测仪特定的 Organizations 配置任何其他内容。可以使用 CloudWatch 的委托管理员账户登录，然后初始化网络流量监测仪，包括为网络可观测性范围添加多个账户。
如果尚未在 CloudWatch 中配置 Organizations，请按照此处的步骤启用可信访问并注册委托管理员账户。
### 在 CloudWatch 中启用可信访问
必须先在 Amazon CloudWatch 中为 Amazon Organizations 启用可信访问，然后才能将网络流量监测仪用于组织中的多个账户。请执行以下步骤，在 CloudWatch 控制台中启用可信访问。
**启用可信访问**
1. 使用组织的管理账户登录控制台。
1. 在 CloudTrail 控制台的导航窗格中选择**设置**。
1. 选择**组织**选项卡。
1. 在**组织管理设置**中，选择**开启**。系统将出现**启用可信访问权限**页面。
1. 要查看角色策略，请选择**查看权限**详细信息。
1. 选择 **Enable trusted access (启用可信访问)**。
现在，当 CloudWatch 发现资源后，会自动更新有关您在网络流量监测仪中有权访问其资源的账户的相关信息。
### 注册委托管理员账户
组织的管理账户应遵循 Amazon Organizations 的最佳做法，将成员账户注册为 CloudWatch 的委托管理员账户。在 CloudWatch 中注册委托管理员账户后，组织成员可以使用该委托管理员账户进行登录，以便在网络流量监测仪中监控多个账户中资源的网络性能。
借助委托管理员账户，您可以为网络流量监测仪中的网络可观测性范围添加多个账户。虽然管理账户也可以创建包含多个账户的范围，但还是建议您遵循 Amazon Organizations 的最佳做法，使用委托管理员账户在网络流量监测仪中添加多个账户。对于非委托管理员账户的成员账户，范围将仅限于登录账户，且该账户会自动设置为范围。
Organizations 的委托管理员账户是一个成员账户，可以共享服务管理权限的管理员访问权限。您选择注册为委托管理员账户的账户必须是组织中的成员账户。组织的委托管理员账户可在 CloudWatch 之外使用，因此在执行此步骤之前，请务必了解此账户类型。有关更多信息，请参阅《Amazon Organizations 用户指南》中的 [Amazon CloudWatch 和 Amazon Organizations](https://docs.amazonaws.cn/organizations/latest/userguide/services-that-can-integrate-cloudwatch.html)。
**配置委托管理员账户**
1. 通过 [https://console.aws.amazon.com/cloudwatch/](https://console.amazonaws.cn/cloudwatch/) 打开 CloudWatch 控制台。
1. 在导航窗格中，选择**设置**。
1. 选择**组织**选项卡。
1. 选择**注册委托管理员**。
1. 在**注册委托管理员**窗口的**委托管理员账户 ID** 字段中，输入 12 位数的组织成员账户 ID。
1. 选择**注册委托管理员**。页面顶部会显示一条消息，表明账户已成功注册。系统将显**组织设置**页面。要查看有关委托管理员账户的信息，请将鼠标悬停在**委托管理员**下方的数字上。
要移除或更改委托管理员账号，请先注销该账户。有关更多信息，请参阅[注销委托管理员账户](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/telemetry-config-turn-on.html#telemetry-config-deregister-administrator)。
## 将多个账户添加到范围
要将账户添加到网络流量监测仪范围，请使用委托管理员账户进行登录。（如果使用管理账户进行登录，也可将账户添加到范围；但在 Amazon Organizations 中，最佳做法是通过委托管理员账户使用资源。）
登录后，按步骤完成网络流量监测仪的初始化操作，该过程会完成以下操作：授权所需的服务相关角色权限，支持您通过添加账户设置网络可观测性的监控范围，并为您所设范围内的账户生成初始资源拓扑结构。登录时所使用的账户（本例中为委托管理员账户）会自动包含在网络流量监测仪范围内。
**为含多账户的监控范围初始化网络流量监测仪**
1. 使用组织的委托管理员账户登录控制台。
1. 在 CloudWatch 控制台的导航窗格中，从**网络监控**下选择**流量监测仪**。
1. 在**开始使用网络流量监测仪**的“步骤 1”中，选择**开始初始化**。
1. 在**网络流量监测仪**页面上，从**添加账户**下选择**添加**。登录时所使用的账户会自动包含在范围内，且会作为**（此账户）**显示在**范围内的账户**表中。
1. 在**添加账户**对话框页面上，可以选择筛选账户，然后选择最多 99 个要添加到范围的其他账户。一个范围中最多可包含 100 个账户。
1. 选择**添加**。
1. 选择**初始化网络流量监测仪**。网络流量监测仪会添加所需的服务相关角色权限，创建一个包含您指定的所有账户的范围，然后为范围内账户中的资源创建初始拓扑。
网络流量监测仪完成初始化后，若需为监控范围添加或移除账户，请按如下步骤操作。
注意：对监控范围完成账户的添加或删除操作后，需等待约 20 分钟才能再次对监控范围进行修改。该延时是因网络流量监测仪需要一定时间更新其拓扑信息所致。
**为监控范围添加或移除账户**
1. 使用组织的委托管理员账户登录控制台。
1. 在 CloudWatch 控制台的导航窗格中，从**网络监控**下选择**流量监测仪**。
1. 在**监测仪**列表中，选中目标监测仪。
1. 进入**监测仪详情**选项卡，在**范围内的账户**部分下，单击**添加**或**删除**。
1. 勾选需要添加到监控范围的账户（最多支持 100 个账户），或勾选需要删除的账户。
1. 按确认弹窗中的步骤完成操作。
## 设置多个账户资源访问权限（仅限控制台）
如果计划通过控制台为网络流创建监测仪，则必须为范围内的每个成员账户添加特定策略。此策略允许您在将本地资源和远程资源添加到监测仪时，查看其他账户的资源。
为范围内的每个账户创建名为 **NetworkFlowMonitorAccountResourceAccess** 的角色，并附加 **AmazonEC2ReadOnlyAccess** 策略。要查看此策略的权限详细信息，请参阅《Amazon Managed Policy Reference Guide》中的 [AmazonEC2ReadOnlyAccess](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AmazonEC2ReadOnlyAccess.html)。
此策略是必须添加到每个实例的策略之外的附加策略，便于网络流量监测仪代理将性能指标从实例发送到网络流量监测仪后端接收服务器。有关代理要求的更多信息，请参阅[在 EC2 实例及自主管理型 Kubernetes 实例上部署网络流量监测仪代理](CloudWatch-NetworkFlowMonitor-agents.md)。
以下过程概述了为在网络流量监测仪控制台中访问范围内资源创建所需角色的步骤。有关如何在 IAM 中创建角色的一般指导，请参阅《Amazon Identity and Access Management 用户指南》中的[创建角色，向 IAM 用户授予权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_create_for-user.html)。
**为在网络流量监测仪控制台中访问资源创建角色**
1. 登录到 Amazon Web Services 管理控制台 并打开 IAM 控制台。
1. 在控制台的导航窗格中，选择**角色**，然后选择**创建角色**。
1. 指定 **Amazon 账户**可信实体。此可信实体类型允许其他 Amazon 账户中的主体担任该角色并访问其他账户中的资源。
1. 选择**下一步**。
1. 在 Amazon 托管式策略列表中，选择 **AmazonEC2ReadOnlyAccess** 策略。
1. 选择**下一步**。
1. 对于角色名称，请输入 **NetworkFlowMonitorAccountResourceAccess**。
1. 检查该角色，然后选择**创建角色**。