Konfigurieren des Amazon EC2-Datensammlers
Änderungen vorschlagen
PDFs
Data Infrastructure Insights verwendet den Amazon EC2-Datensammler, um Bestands- und Leistungsdaten von EC2-Instances zu erfassen.
Anforderungen
Um Daten von Amazon EC2-Geräten zu erfassen, benötigen Sie die folgenden Informationen:
-
Sie müssen über eines der folgenden Elemente verfügen:
-
Die IAM-Rolle für Ihr Amazon EC2-Cloud-Konto, wenn Sie die IAM-Rollenauthentifizierung verwenden. Die IAM-Rolle gilt nur, wenn Ihre Erfassungseinheit auf einer AWS-Instanz installiert ist.
-
Die IAM-Zugriffsschlüssel-ID und der geheime Zugriffsschlüssel für Ihr Amazon EC2-Cloud-Konto, wenn Sie die IAM-Zugriffsschlüssel-Authentifizierung verwenden.
-
-
Sie müssen über die Berechtigung „Organisation auflisten“ verfügen
-
Port 443 HTTPS
-
EC2-Instanzen können als virtuelle Maschine oder (weniger natürlich) als Host gemeldet werden. EBS-Volumes können sowohl als von der VM verwendete VirtualDisk als auch als DataStore gemeldet werden, der die Kapazität für die VirtualDisk bereitstellt.
Zugriffsschlüssel bestehen aus einer Zugriffsschlüssel-ID (z. B. AKIAIOSFODNN7EXAMPLE) und einem geheimen Zugriffsschlüssel (z. B. wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY). Sie verwenden Zugriffsschlüssel, um programmgesteuerte Anfragen zu signieren, die Sie an EC2 stellen, wenn Sie die Amazon EC2 SDKs, REST oder Query-API-Operationen verwenden. Diese Schlüssel werden Ihnen mit Ihrem Vertrag von Amazon zur Verfügung gestellt.
Konfiguration
Geben Sie die Daten in die Felder des Datensammlers gemäß der folgenden Tabelle ein:
| Feld | Beschreibung |
|---|---|
AWS-Region |
AWS-Region auswählen |
IAM-Rolle |
Nur zur Verwendung, wenn es auf einer AU in AWS erworben wurde. Weitere Informationen finden Sie weiter untenIAM-Rolle . |
AWS IAM-Zugriffsschlüssel-ID |
Geben Sie die AWS IAM-Zugriffsschlüssel-ID ein. Erforderlich, wenn Sie keine IAM-Rolle verwenden. |
Geheimer AWS IAM-Zugriffsschlüssel |
Geben Sie den geheimen AWS IAM-Zugriffsschlüssel ein. Erforderlich, wenn Sie keine IAM-Rolle verwenden. |
Mir ist bekannt, dass AWS mir API-Anfragen in Rechnung stellt. |
Aktivieren Sie dies, um zu bestätigen, dass Sie verstanden haben, dass AWS Ihnen die API-Anfragen in Rechnung stellt, die durch Data Infrastructure Insights -Polling gestellt werden. |
Erweiterte Konfiguration
| Feld | Beschreibung |
|---|---|
Zusätzliche Regionen einschließen |
Geben Sie zusätzliche Regionen an, die in die Abfrage einbezogen werden sollen. |
Cross-Account-Rolle |
Rolle für den Zugriff auf Ressourcen in verschiedenen AWS-Konten. |
Inventarabfrageintervall (min) |
Der Standardwert ist 60 |
Wählen Sie „Ausschließen“ oder „Einschließen“, um VMs nach Tags zu filtern |
Geben Sie an, ob VMs beim Sammeln von Daten anhand von Tags ein- oder ausgeschlossen werden sollen. Wenn „Einschließen“ ausgewählt ist, darf das Feld „Tag-Schlüssel“ nicht leer sein. |
Tag-Schlüssel und -Werte zum Filtern von VMs |
Klicken Sie auf + Tag filtern, um auszuwählen, welche VMs (und zugehörigen Datenträger) ein-/ausgeschlossen werden sollen, indem Sie nach Schlüsseln und Werten filtern, die mit den Schlüsseln und Werten der Tags auf der VM übereinstimmen. Tag-Schlüssel ist erforderlich, Tag-Wert ist optional. Wenn der Tag-Wert leer ist, wird die VM gefiltert, solange sie mit dem Tag-Schlüssel übereinstimmt. |
Leistungsabfrageintervall (Sek.) |
Der Standardwert ist 1800 |
Namespace für CloudWatch-Agent-Metriken |
Namespace in EC2/EBS, aus dem Daten gesammelt werden sollen. Beachten Sie, dass Data Infrastructure Insights diese umbenannten Daten möglicherweise nicht erfassen kann, wenn die Namen der Standardmetriken in diesem Namespace geändert werden. Es wird empfohlen, die Standardmetriknamen beizubehalten. |
IAM-Zugriffsschlüssel
Zugriffsschlüssel sind langfristige Anmeldeinformationen für einen IAM-Benutzer oder den Stammbenutzer des AWS-Kontos. Zugriffsschlüssel werden verwendet, um programmgesteuerte Anfragen an die AWS CLI oder AWS API zu signieren (direkt oder mithilfe des AWS SDK).
Zugriffsschlüssel bestehen aus zwei Teilen: einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel. Wenn Sie die Authentifizierung mit IAM-Zugriffsschlüssel verwenden (im Gegensatz zur Authentifizierung mit IAM-Rolle), müssen Sie zur Authentifizierung von Anfragen sowohl die Zugriffsschlüssel-ID als auch den geheimen Zugriffsschlüssel zusammen verwenden. Weitere Informationen finden Sie in der Amazon-Dokumentation unter"Zugriffsschlüssel" .
IAM-Rolle
Wenn Sie die Authentifizierung mit IAM-Rolle verwenden (im Gegensatz zur Authentifizierung mit IAM-Zugriffsschlüssel), müssen Sie sicherstellen, dass die von Ihnen erstellte oder angegebene Rolle über die entsprechenden Berechtigungen für den Zugriff auf Ihre Ressourcen verfügt.
Wenn Sie beispielsweise eine IAM-Rolle mit dem Namen InstanceEc2ReadOnly erstellen, müssen Sie die Richtlinie so einrichten, dass EC2 für diese IAM-Rolle die schreibgeschützte Listenzugriffsberechtigung für alle EC2-Ressourcen erhält. Zusätzlich müssen Sie STS (Security Token Service)-Zugriff gewähren, damit diese Rolle kontoübergreifend Rollen übernehmen darf.
Nachdem Sie eine IAM-Rolle erstellt haben, können Sie sie anhängen, wenn Sie eine neue EC2-Instanz oder eine vorhandene EC2-Instanz erstellen.
Nachdem Sie die IAM-Rolle InstanceEc2ReadOnly an eine EC2-Instanz angehängt haben, können Sie die temporären Anmeldeinformationen über die Instanzmetadaten anhand des IAM-Rollennamens abrufen und sie verwenden, um mit jeder auf dieser EC2-Instanz ausgeführten Anwendung auf AWS-Ressourcen zuzugreifen.
Weitere Informationen finden Sie in der Amazon-Dokumentation unter"IAM-Rollen" .
Hinweis: Die IAM-Rolle kann nur verwendet werden, wenn die Acquisition Unit in einer AWS-Instanz ausgeführt wird.
Zuordnen von Amazon-Tags zu Data Infrastructure Insights -Anmerkungen
Der Amazon EC2-Datensammler enthält eine Option, mit der Sie Data Infrastructure Insights -Anmerkungen mit auf EC2 konfigurierten Tags füllen können. Die Anmerkungen müssen genau wie die EC2-Tags benannt sein. Data Infrastructure Insights füllt immer gleichnamige Textanmerkungen aus und unternimmt den bestmöglichen Versuch, Anmerkungen anderer Typen (Zahl, Boolescher Wert usw.) auszufüllen. Wenn Ihre Anmerkung einen anderen Typ hat und der Datensammler sie nicht ausfüllen kann, kann es erforderlich sein, die Anmerkung zu entfernen und als Texttyp neu zu erstellen.
Beachten Sie, dass bei AWS die Groß- und Kleinschreibung beachtet wird, während bei Data Infrastructure Insights die Groß- und Kleinschreibung nicht beachtet wird. Wenn Sie also in Data Infrastructure Insights eine Annotation mit dem Namen „OWNER“ und in EC2 Tags mit den Namen „OWNER“, „Owner“ und „owner“ erstellen, werden alle EC2-Varianten von „owner“ der Annotation „OWNER“ von Cloud Insight zugeordnet.
Zusätzliche Regionen einschließen
Im Abschnitt Erweiterte Konfiguration des AWS Data Collector können Sie das Feld Zusätzliche Regionen einschließen so festlegen, dass zusätzliche Regionen eingeschlossen werden, getrennt durch Komma oder Semikolon. Standardmäßig ist dieses Feld auf us-.* eingestellt, wodurch alle US-amerikanischen AWS-Regionen erfasst werden. Um in allen Regionen zu sammeln, setzen Sie dieses Feld auf .*. Wenn das Feld Zusätzliche Regionen einschließen leer ist, sammelt der Datensammler Daten für die im Feld AWS-Region angegebenen Assets, wie im Abschnitt Konfiguration angegeben.
Sammeln von AWS-Unterkonten
Data Infrastructure Insights unterstützt die Erfassung untergeordneter Konten für AWS innerhalb eines einzelnen AWS-Datensammlers. Die Konfiguration für diese Sammlung wird in der AWS-Umgebung durchgeführt:
-
Sie müssen jedes untergeordnete Konto so konfigurieren, dass es über eine AWS-Rolle verfügt, die der Hauptkonto-ID den Zugriff auf EC2-Details des untergeordneten Kontos ermöglicht.
-
Für jedes untergeordnete Konto muss der Rollenname als dieselbe Zeichenfolge konfiguriert sein.
-
Geben Sie diese Rollennamenzeichenfolge in den Abschnitt Erweiterte Konfiguration des Data Infrastructure Insights AWS Data Collector im Feld Kontoübergreifende Rolle ein.
-
Das Konto, unter dem der Collector installiert ist, muss über die Berechtigung „Delegierter Zugriffsadministrator“ verfügen. Siehe die"AWS-Dokumentation" für weitere Informationen.
Best Practice: Es wird dringend empfohlen, dem EC2-Hauptkonto die von AWS vordefinierte Richtlinie AmazonEC2ReadOnlyAccess zuzuweisen. Außerdem sollte dem in der Datenquelle konfigurierten Benutzer mindestens die vordefinierte Richtlinie AWSOrganizationsReadOnlyAccess zugewiesen sein, um AWS abfragen zu können.
Im Folgenden finden Sie Informationen zum Konfigurieren Ihrer Umgebung, damit Data Infrastructure Insights Daten von untergeordneten AWS-Konten erfassen kann:
Fehlerbehebung
Weitere Informationen zu diesem Datensammler finden Sie im"Support" Seite oder in der"Datensammler-Supportmatrix" .