Wie konfiguriere ich On-Premises-Server so, dass sie temporäre Anmeldeinformationen mit dem SSM Agent und Unified CloudWatch Agent verwenden?

Behebung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Der vereinheitlichte CloudWatch-Agent verwendet Anmeldeinformationen für AWS Identity and Access Management (IAM), die in einer Konfigurationsdatei für die Leistungsüberwachung und -verwaltung angegeben sind. Aus Sicherheitsgründen kann es jedoch vorkommen, dass der Agent die Anmeldeinformationen rotiert, anstatt sie in lokalen Dateien zu speichern. SSM-Agent ermöglicht dem lokalen Host, eine IAM-Rolle zu übernehmen, und der CloudWatch-Agent verwendet diese Rolle, um Metriken und Protokolle auf CloudWatch zu veröffentlichen.

Konfiguriere die On-Premises-Server so, dass sie nur temporäre Anmeldeinformationen verwenden

Führe die folgenden Schritte aus:

1. Integriere den On-Premises-Host in den AWS System Manager. Weitere Informationen findest du unter Verwalten von Knoten in Hybrid- und Multi-Cloud-Umgebungen mit Systems Manager.

2. Hänge die Richtlinie CloudWatchAgentServerPolicy an die IAM-Servicerolle an. Anweisungen findest du unter Verwenden der AWS-Managementkonsole zum Erstellen einer IAM-Servicerolle für Systems Manager-Hybrid-Aktivierungen.

3. Installiere oder aktualisiere die AWS-CLI.

4. Führe den folgenden Befehl get-caller-identity aus, um zu überprüfen, ob die IAM-Rolle an deinen On-Premises-Host angehängt ist:

   aws sts get-caller-identity

   Beispielausgabe:

   {
       "UserId": "AROAJXQ3RVCBOTUDZ2AWM:mi-070c8d5758243078f",
       "Account": "123456789012",
       "Arn": "arn:aws:sts::444455556666:assumed-role/SSMServiceRole/mi-070c8d5758243078f"
   }

5. Vergewissere dich, dass du den vereinheitlichten CloudWatch-Agenten korrekt installiert hast.

6. Ändere die Datei common-config.toml so, dass sie auf die Anmeldeinformationen verweist, die der SSM-Agent generiert hat. Anweisungen findest du unter Ändern der allgemeinen Konfiguration und des benannten Profils für den CloudWatch-Agenten.
   **Hinweis:Der SSM-Agent aktualisiert die Anmeldeinformationen alle 30 Minuten.
   Für Linux, Beispiel-Dateipfad ** common.config.toml:

   /opt/aws/amazon-cloudwatch-agent/etc/common-config.toml

   Beispielausgabe:

   [credentials]
     shared_credential_profile = "default"
     shared_credential_file = "/root/.aws/credentials"

   Beispiel für Windows-Dateipfad common-config.toml:

   $Env:ProgramData\Amazon\AmazonCloudWatchAgent\common-config.toml

   Beispielausgabe:

   [credentials]  shared_credential_profile = "default"
     shared_credential_file = "C:\\Windows\\System32\\config\\systemprofile\\.aws\\credentials"

7. Konfiguriere die AWS-Region in der Anmeldeinformationsdatei shared_credential_file, auf die der SSM-Agent verweist:

   cat /root/.aws/config
    [default]
   region = eu-west-1

   Hinweis: Ersetze eu-west-1 durch deine Region.

8. Konfiguriere für Linux-Hosts die Berechtigungen für den CloudWatch-Agenten so, dass der vereinheitlichte CloudWatch-Agent die Anmeldeinformationsdatei für den SSM-Agent lesen kann. Der vereinheitlichte CloudWatch-Agent wird standardmäßig als Root-Benutzer ausgeführt. Wenn du den CloudWatch-Agenten mit dem Parameter run_as_user so konfigurierst, dass er als nicht privilegierter Benutzer ausgeführt wird, gewähre diesem Benutzer Zugriff auf die Anmeldeinformationsdatei. Anweisungen findest du unter Ausführen des CloudWatch-Agenten als anderer Benutzer.
   **Wichtig:**Überspringe diesen Schritt bei Windows-Hosts. Beide Agenten laufen als **SYSTEM-**Benutzer.

9. Öffne Services auf dem Windows-Server und wähle dann Amazon CloudWatch-Agent-Eigenschaften, um den Start-Startup des CloudWatch-Agent-Services zu konfigurieren.
   Wähle unter Eigenschaften die Dropdownliste Startup-Typ aus, und wähle dann Automatisch (verzögerter Start) aus.
   **Hinweis:**Beim Startup-Typ Automatisch (verzögerter Start) wird der CloudWatch-Agent-Dienst automatisch nach dem SSM-Agent-Service gestartet.

Ähnliche Informationen

Den CloudWatch Agent auf einen On-Premises-Server herunterladen

Wie installiere und konfiguriere ich den vereinheitlichten CloudWatch-Agent, um Metriken und Protokolle von einer EC2-Instance an CloudWatch zu senden?