跨账户调查

设置监控账户，以进行跨账户访问

1. 通过 https://console.aws.amazon.com/cloudwatch/ 打开 CloudWatch 控制台。

2. 在左侧导航窗格中，选择 AI 操作、配置。

3. 在配置跨账户访问下，选择配置。

4. 在源账户列表部分下，添加最多 25 个账户的账户 ID。

5. 更新 IAM 角色。

   1. 自动

      • 若选择自动更新助理角色（推荐），系统会创建一个名为 AIOpsAssistantCrossAccountPolicy-${guid} 的客户管理型策略，其中包含用于承担所提供的源账户角色的 sts:AssumeRole 声明。选择自动更新选项时，源账户中的 IAM 角色名称默认为 AIOps-CrossAccountInvestigationRole。

        {
            "Version": "2012-10-17",
            "Statement": {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": [
                    "arn:aws:iam::777777777777:role/AIOps-CrossAccountInvestigationRole"
                    "arn:aws:iam::555555555555:role/AIOps-CrossAccountInvestigationRole"
                    "arn:aws:iam::666666666666:role/AIOps-CrossAccountInvestigationRole"
                    ]
            }
        }

      • 若监控账户所有者从跨账户配置中移除某个源账户，系统不会自动更新关联的 IAM 策略。您必须手动更新 IAM 角色和策略，确保其始终遵循最小权限原则。

      • 若在移除源账户后未手动更新权限，可能会导致该角色达到托管策略数量上限。您必须删除调查角色相关的全部未使用托管策略。

   2. 手动方式

      • 以下是助手角色信任策略的示例。有关更多信息，请参阅 入门。

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Resource": {
                        "Service": "aiops.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "123456789012"
                        },
                        "ArnLike": {
                            "aws:SourceArn": "arn:aws:aiops:us-east-1:123456789012:investigation-group/*"
                        }
                    }
                }
            ]
        }

        要实现跨账户访问，监控账户中的调查角色权限策略必须包含以下内容。若您手动配置监控账户，角色名称可按需自定义。它不会默认为 AIOps-CrossAccountInvestigationRole

        {
            "Version": "2012-10-17",
            "Statement": {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": [
                    "arn:aws:iam::777777777777:role/source_role_name_1"
                    "arn:aws:iam::555555555555:role/source_role_name_2"
                    "arn:aws:iam::666666666666:role/source_role_name_3"
                    ]
            }
        }

1. 若您选择了自动更新助手角色选项来配置监控账户，则需预置一个名为 AIOps-CrossAccountInvestigationRole 的 IAM 角色。若您选择手动设置选项，则需按自定义的源账户角色名称来配置 IAM 角色。

   1. 在 IAM 控制台中，将 Amazon 托管策略 AIOpsAssistantPolicy 附加到您的 IAM 角色。

   2. 源账户中该角色的信任策略需包含如下配置，​必须在策略中明确指定 ExternalID。请使用监控账户中调查组的 ARN。

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::123456789012:role/investigation-role-name"
                  },
                  "Action": "sts:AssumeRole",
                  "Condition": {
                      "StringEquals": {
                          "sts:ExternalId": "investigation-group-arn"
                  }
              }
          }
      ]

2. 必须在每个源账户中分别完成此操作。

3. 若您通过控制台配置监控账户角色，则源账户中的角色名称将默认设置为 AIOps-CrossAccountInvestionRole。

4. 通过以下步骤确认访问权限：登录监控账户，导航至调查组，然后进入配置，再选择跨账户设置。

   确认源账户已在跨账户配置列表中显示，且其状态为已关联至监控账户。