Comment configurer des serveurs sur site afin qu’ils utilisent des informations d'identification temporaires avec SSM Agent et l'agent CloudWatch unifié ?

Résolution

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes de l'interface de la ligne de commande AWS (AWS CLI), consultez la section Résoudre des erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l'AWS CLI.

L'agent CloudWatch unifié utilise les informations d'identification de Gestion des identités et des accès AWS (AWS IAM) qui sont spécifiées dans un fichier de configuration pour la surveillance et la gestion des performances. Toutefois, pour une sécurité renforcée, l'agent peut alterner les informations d'identification au lieu de les stocker dans des fichiers locaux. SSM Agent permet à votre hôte local d'assumer un rôle IAM et l'agent CloudWatch utilise ce rôle pour publier des métriques et des journaux sur CloudWatch.

Configurer vos serveurs sur site pour n'utiliser que des informations d'identification temporaires

Procédez comme suit :

1. Intégrez votre hôte sur site à AWS System Manager. Pour plus d'informations, consultez la section Gestion des nœuds dans des environnements hybrides et multicloud avec Systems Manager.

2. Associez la politique CloudWatchAgentServerPolicy au rôle de service IAM. Pour obtenir des instructions, consultez la section Utilisation de la console de gestion AWS pour créer un rôle de service IAM pour les activations hybrides de Systems Manager.

3. Installez ou mettez à jour l'AWS CLI.

4. Exécutez la commande get-caller-identity suivante pour vérifier que le rôle IAM est associé à votre hôte sur site :

   aws sts get-caller-identity

   Exemple de sortie :

   {
       "UserId": "AROAJXQ3RVCBOTUDZ2AWM:mi-070c8d5758243078f",
       "Account": "123456789012",
       "Arn": "arn:aws:sts::444455556666:assumed-role/SSMServiceRole/mi-070c8d5758243078f"
   }

5. Vérifiez que vous avez correctement installé l'agent CloudWatch unifié.

6. Modifiez le fichier common-config.toml afin qu'il pointe vers les informations d'identification générées par SSM Agent. Pour obtenir des instructions, consultez la section Modification de la configuration commune et du profil nommé de l'agent CloudWatch.
   Remarque : SSM Agent actualise les informations d'identification toutes les 30 minutes.
   Pour Linux, exemple de chemin de fichier common.config.toml :

   /opt/aws/amazon-cloudwatch-agent/etc/common-config.toml

   Exemple de sortie :

   [credentials]
     shared_credential_profile = "default"
     shared_credential_file = "/root/.aws/credentials"

   Pour Windows, exemple de chemin de fichier common-config.toml :

   $Env:ProgramData\Amazon\AmazonCloudWatchAgent\common-config.toml

   Exemple de sortie :

   [credentials]  shared_credential_profile = "default"
     shared_credential_file = "C:\\Windows\\System32\\config\\systemprofile\\.aws\\credentials"

7. Configurez votre région AWS dans le fichier d'informations d'identification shared_credential_file auquel SSM Agent fait référence :

   cat /root/.aws/config
    [default]
   region = eu-west-1

   Remarque : Remplacez eu-west-1 par votre région.

8. Pour les hôtes Linux, configurez vos autorisations pour l'agent CloudWatch afin de permettre à l'agent CloudWatch unifié de lire le fichier d'informations d'identification de SSM Agent. L'agent CloudWatch unifié s'exécute en tant qu'utilisateur racine par défaut. Si vous configurez l'agent CloudWatch afin qu'il s'exécute en tant qu'utilisateur non privilégié avec le paramètre run_as_user, accordez à cet utilisateur l'accès au fichier d'informations d'identification. Pour obtenir des instructions, consultez la section Exécution de l'agent CloudWatch en tant qu’utilisateur différent.
   Important : Pour les hôtes Windows, ignorez cette étape. Les deux agents s'exécutent en tant qu'utilisateur SYSTEM.

9. Ouvrez Services sur votre serveur Windows, puis choisissez Propriétés de l'agent Amazon CloudWatch pour configurer le démarrage du service d'agent CloudWatch.
   Dans Propriétés, sélectionnez la liste déroulante Type de démarrage, puis choisissez Automatique (démarrage différé).
   Remarque : Le type de démarrage Automatique (démarrage différé) démarre automatiquement le service d'agent CloudWatch après le service SSM Agent.

Informations connexes

Télécharger l'agent CloudWatch sur un serveur sur site

Comment puis-je installer et configurer l’agent CloudWatch unifié pour envoyer les métriques et les journaux de mon instance EC2 à CloudWatch ?