Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

监控账户间的 AgentCore 资源

您可以使用亚马逊 CloudWatch 跨账户可观察性从单个监控账户监控多个 Amazon 账户中的 Amazon Bedrock AgentCore 资源。这使您无需在账户之间切换即可查看来自源账户的代理指标、跟踪、会话和资源数据。

启用跨账户可观察性后，您的监控账户中的 AgentCore 可观察性控制台会自动显示来自所有关联源账户的数据以及您的本地账户数据。

先决条件

在跨账户监控 AgentCore 资源之前，必须完成以下操作：

如何设置跨账户监控

第 1 步：配置监控账户

第 2 步：关联源账户

使用以下方法之一将您的源账户关联到监控账户：

配置源账户时，请确保在监控账户中选择的相同遥测类型也在源账户中启用。

有关详细说明，请参阅将监控账户与源账户关联起来。

第 3 步：在 Observability 中 AgentCore 查看跨账户数据

使用基础设施即代码设置跨账户监控

您可以使用 Amazon CloudFormation 可观测性访问管理器 (OAM) 资源以编程方式配置跨账户CloudWatch 可观测性。

有关创建接收器和链接所需的 IAM 权限，请参阅必要权限。

监控账户：创建接收器

在您的监控账户中，创建一个 OAM 接收器，接受来自源账户的遥测。

您可以通过以下方式之一来确定接收器策略的范围：

选项 1：允许组织中的所有账户

<your-org-id>替换为您的 Amazon 组织组织 ID（例如，o-a1b2c3d4e5）。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Sink for cross-account AgentCore Observability (organization-wide)

Resources:
  ObservabilitySink:
    Type: AWS::Oam::Sink
    Properties:
      Name: AgentCoreObservabilitySink
      Policy:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal: '*'
            Action:
              - 'oam:CreateLink'
              - 'oam:UpdateLink'
            Resource: '*'
            Condition:
              StringEquals:
                aws:PrincipalOrgID: '<your-org-id>'
              ForAllValues:StringEquals:
                oam:ResourceTypes:
                  - 'AWS::Logs::LogGroup'
                  - 'AWS::CloudWatch::Metric'
      Tags:
        Purpose: AgentCoreObservability

Outputs:
  SinkArn:
    Value: !GetAtt ObservabilitySink.Arn
    Description: Share this ARN with source accounts to create links

选项 2：允许特定的来源账户

将<source-account-id-1>和<source-account-id-2>替换为 Amazon 您的来源账户的账户 ID。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Sink for cross-account AgentCore Observability (specific accounts)

Resources:
  ObservabilitySink:
    Type: AWS::Oam::Sink
    Properties:
      Name: AgentCoreObservabilitySink
      Policy:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - '<source-account-id-1>'
                - '<source-account-id-2>'
            Action:
              - 'oam:CreateLink'
              - 'oam:UpdateLink'
            Resource: '*'
            Condition:
              ForAllValues:StringEquals:
                oam:ResourceTypes:
                  - 'AWS::Logs::LogGroup'
                  - 'AWS::CloudWatch::Metric'
      Tags:
        Purpose: AgentCoreObservability

Outputs:
  SinkArn:
    Value: !GetAtt ObservabilitySink.Arn
    Description: Share this ARN with source accounts to create links

来源账户：创建链接

在每个源账户中，创建指向监控账户接收器的 OAM 链接。<sink-arn-from-monitoring-account>使用上一步中的接收器 ARN 进行替换。

AWSTemplateFormatVersion: '2010-09-09'
Description: OAM Link for cross-account AgentCore Observability

Resources:
  ObservabilityLink:
    Type: AWS::Oam::Link
    Properties:
      LabelTemplate: '$AccountName'
      ResourceTypes:
        - 'AWS::Logs::LogGroup'
        - 'AWS::CloudWatch::Metric'
      SinkIdentifier: '<sink-arn-from-monitoring-account>'
      Tags:
        Purpose: AgentCoreObservability

要在组织中的所有成员账户中部署此链接，请使用 Amazon CloudFormation StackSets。有关说明，请参阅将监控账户与源账户关联起来。

有关 OAM 资源的更多信息，请参阅 Amazon CloudFormation OAM 资源参考。

筛选跨账户数据

您可以在会话和跟踪表中按账户筛选数据：

限制

相关资源