|
|
La implementación de aplicaciones con varias cuentas de AWS es una buena práctica para establecer límites de seguridad y facturación entre los equipos y reducir el impacto de los eventos operativos. Cuando adopta una estrategia de varias cuentas, debe analizar los datos de telemetría que se encuentran dispersos en varias cuentas. Para brindarle la flexibilidad de monitorear todos los componentes de sus aplicaciones desde una vista centralizada, presentamos hoy Amazon CloudWatch observabilidad entre cuentasuna nueva capacidad para buscar, analizar y correlacionar datos de telemetría entre cuentas almacenados en CloudWatch, como métricas, registros y seguimientos.
Ahora puede configurar una cuenta de AWS de monitoreo central y conectar sus otras cuentas como fuentes. Luego, puede buscar, auditar y analizar registros en sus aplicaciones para profundizar en los problemas operativos en cuestión de segundos. Puede descubrir y visualizar métricas de muchas cuentas en un solo lugar y crear alarmas que evalúen métricas pertenecientes a otras cuentas. Puede comenzar con una vista agregada de varias cuentas de su aplicación para identificar visualmente los recursos que muestran errores y profundizar en los seguimientos, las métricas y los registros correlacionados para encontrar la causa raíz. Este acceso y navegación de datos sin problemas entre cuentas ayuda a reducir el tiempo y el esfuerzo necesarios para solucionar problemas.
Veamos cómo funciona esto en la práctica.
Configuración de la observabilidad entre cuentas de CloudWatch
Para habilitar la observabilidad entre cuentas, CloudWatch ha introducido el concepto de supervisión y cuentas de origen:
- A cuenta de seguimiento es una cuenta central de AWS que puede ver e interactuar con datos de observabilidad compartidos por otras cuentas.
- A cuenta de origen es una cuenta individual de AWS que comparte datos y recursos de observabilidad con una o más cuentas de monitoreo.
Puede configurar múltiples cuentas de monitoreo con el nivel de visibilidad que necesita. La observabilidad entre cuentas de CloudWatch también está integrada con AWS Organizations. Por ejemplo, puedo tener una cuenta de supervisión con amplio acceso a todas las cuentas de mi organización para los equipos operativos y de seguridad central y luego configurar otras cuentas de supervisión con una visibilidad más restringida en una unidad comercial para propietarios de servicios individuales.
Primero, configuro el cuenta de seguimiento. En la consola de CloudWatch, elijo Ajustes en el panel de navegación. En el Supervisión de la configuración de la cuenta sección, elijo Configurar.
Ahora puedo elegir qué datos de telemetría se pueden compartir con la cuenta de monitoreo: Registros, Métricay huellas. Dejo los tres habilitados.
Para enumerar las cuentas de origen que compartirán datos con esta cuenta de supervisión, puedo usar ID de cuenta, ID de organización o rutas de organización. Puedo usar una ID de organización para incluir todas las cuentas en la organización o una ruta de organización para incluir todas las cuentas en un departamento o unidad comercial. En mi caso, solo tengo una cuenta de origen para vincular, así que ingreso el ID de la cuenta.
Cuando uso la consola de CloudWatch en la cuenta de monitoreo para buscar y mostrar datos de telemetría, veo el ID de la cuenta que compartió esos datos. Debido a que los ID de cuenta no son fáciles de recordar, puedo mostrar una «etiqueta de cuenta» más descriptiva. Al configurar la etiqueta a través de la consola, puedo elegir entre el nombre de la cuenta o la dirección de correo electrónico utilizada para identificar la cuenta. Cuando uso una dirección de correo electrónico, también puedo elegir si incluir el dominio. Por ejemplo, si todos los correos electrónicos utilizados para identificar mis cuentas usan el mismo dominio, puedo usar como etiquetas las direcciones de correo electrónico sin ese dominio.
Hay un recordatorio rápido de que la observabilidad entre cuentas solo funciona en la región seleccionada. Si tengo recursos en varias regiones, puedo configurar la observabilidad entre cuentas en cada región. Para completar la configuración de la cuenta de seguimiento, elijo Configurar.
La cuenta de monitoreo ahora está habilitada y elijo Recursos para vincular cuentas para determinar cómo vincular mis cuentas de origen.
Para vincular cuentas de origen en una organización de AWS, puedo descargar una plantilla de AWS CloudFormation para implementarla en una cuenta de administración delegada de CloudFormation.
Para vincular cuentas individuales, puedo descargar una plantilla de CloudFormation para implementarla en cada cuenta o copiar una URL que me ayude a usar la consola para configurar las cuentas. Copio la URL y la pego en otro navegador donde he iniciado sesión como cuenta de origen. Luego, puedo configurar qué datos de telemetría compartir (registros, métricas o seguimientos). El Nombre de recurso de Amazon (ARN) de la configuración de la cuenta de monitoreo está precargado porque copié y pegué la URL en el paso anterior. Si no uso la URL, puedo copiar el ARN de la cuenta de monitoreo y pegarlo aquí. Confirmo la etiqueta utilizada para identificar mi cuenta de origen y elijo Enlace.
En el Confirmar el permiso de la cuenta de monitoreo diálogo, escribo Confirmar para completar la configuración de la cuenta de origen.
Uso de la observabilidad entre cuentas de CloudWatch
Para ver cómo funcionan las cosas con la observabilidad entre cuentas, implemento una aplicación simple entre cuentas usando dos funciones de AWS Lambda, una en la cuenta de origen (multi-account-function-a) y uno en la cuenta de seguimiento (multi-account-function-b). Cuando se activa, la función en la cuenta de origen publica un evento en un bus de eventos de Amazon EventBridge en la cuenta de monitoreo. Allí, una regla de EventBridge desencadena la ejecución de la función en la cuenta de seguimiento. Esta es una configuración simplificada que usa solo dos cuentas. Probablemente tendrá sus cargas de trabajo ejecutándose en varias cuentas de origen.
En la consola de Lambda, las dos funciones de Lambda tienen Seguimiento activo y Supervisión mejorada activado. Para recopilar datos de telemetría, utilizo el Capa Lambda de AWS Distro for OpenTelemetry (ADOT). los Supervisión mejorada La opción activa Amazon CloudWatch Lambda Insights para recopilar y agregar métricas de rendimiento del tiempo de ejecución de la función Lambda.
Preparo un evento de prueba en la consola Lambda de la cuenta de origen. Entonces, elijo Prueba y ejecute la función varias veces.
Ahora, quiero entender qué están haciendo los componentes de mi aplicación, que se ejecutan en diferentes cuentas. Comienzo con registros y luego paso a métricas y seguimientos.
En la consola de CloudWatch del cuenta de seguimientoYo elijo Grupos de registro en el Registros sección del panel de navegación. Allí, busco y encuentro los grupos de registro creados por las dos funciones de Lambda que se ejecutan en diferentes cuentas de AWS. Como era de esperar, cada grupo de registros muestra el ID de cuenta y la etiqueta que originan los datos. Selecciono ambos grupos de registro y elijo Ver en Logs Insights.
Ahora puedo buscar y analizar registros de diferentes cuentas de AWS mediante la sintaxis de consulta de CloudWatch Logs Insights. Por ejemplo, ejecuto una consulta simple para ver los últimos veinte mensajes en los dos grupos de registros. incluyo el @log para ver el ID de la cuenta a la que pertenece el registro.
Ahora también puedo crear reglas de Contributor Insights en grupos de registros de cuentas cruzadas. Esto me permite, por ejemplo, tener una visión holística de los eventos de seguridad que ocurren en las cuentas o identificar las solicitudes de Lambda más costosas en una aplicación sin servidor que se ejecuta en varias cuentas.
Entonces, elijo Todas las métricas en el Métrica sección del panel de navegación. Para ver las métricas de rendimiento del tiempo de ejecución de la función Lambda recopiladas por CloudWatch Lambda Insights, elijo LambdaInsights y entonces nombre de la función. ahí busco multi-account y memory para ver las métricas de memoria. Una vez más, veo los identificadores de cuenta y las etiquetas que me indican que estas métricas provienen de dos cuentas diferentes. Desde aquí, puedo seleccionar las métricas que me interesan y crear paneles y alarmas entre cuentas. Con las métricas seleccionadas, elijo Agregar al tablero en el Comportamiento desplegable.
Creo un nuevo tablero y elijo el área apilada tipo de widget. Entonces, elijo Agregar al tablero.
Hago lo mismo para las métricas de CPU y memoria (pero usando diferentes tipos de widgets) para crear rápidamente un panel de control de cuentas cruzadas donde puedo mantener bajo control mi configuración de múltiples cuentas. Bueno, todavía no hay mucho tráfico, pero tengo esperanzas.
Finalmente, elijo Mapa de servicios desde el Rastros de rayos X del panel de navegación para ver el flujo de mi solicitud multicuenta. En el mapa de servicios, el cliente activa la función Lambda en la cuenta de origen. Luego, se envía un evento a la otra cuenta para ejecutar la otra función de Lambda.
En el mapa de servicios, selecciono el ícono de ajustes para la función que se ejecuta en la cuenta de origen (multi-account-function-a) y entonces Ver rastros para mirar las huellas individuales. Los seguimientos contienen datos de varias cuentas de AWS. Puedo buscar rastros provenientes de una cuenta específica usando una sintaxis como:
El mapa de servicios ahora une la telemetría de múltiples cuentas en un solo lugar, brindando una vista consolidada para monitorear sus aplicaciones de cuentas cruzadas. Esto me ayuda a identificar problemas rápidamente y reduce el tiempo de resolución.
Disponibilidad y precios
La observabilidad entre cuentas de Amazon CloudWatch está disponible hoy en todas las regiones comerciales de AWS mediante la consola de administración de AWS, la interfaz de línea de comandos (CLI) de AWS y los SDK de AWS. El soporte de AWS CloudFormation llegará en los próximos días. La observabilidad entre cuentas en CloudWatch viene sin costo adicional para registros y métricas, y la primera copia de seguimiento es gratuita. Consulte la página de precios de Amazon CloudWatch para obtener más detalles.
Tener un punto de vista central para monitorear todas las cuentas de AWS que usa le brinda una mejor comprensión de sus actividades generales y ayuda a resolver problemas para aplicaciones que abarcan varias cuentas.
Comience a usar la observabilidad entre cuentas de CloudWatch para monitorear todos sus recursos.
— Danilo
