Managed Service for Prometheus:Monitoreo unificado entre cuentas con instancias de agregación globales

Configure una estructura multicuenta para su empresa mediante un directorio de recursos. Para obtener más información sobre los directorios de recursos, consulte What is Resource Directory?.

Establezca un administrador delegado para el servicio de confianza con uno de los métodos a continuación.

Agregue los datos.

1. Utilice la cuenta de Alibaba Cloud A para iniciar sesión en la consola de Prometheus.

2. En el panel de navegación izquierdo, seleccione Managed Service for Prometheus > Instances para abrir la lista de instancias de Managed Service for Prometheus.

3. Haga clic en Create Prometheus Instance. En la página Create Instance, configure los parámetros tal como se describe en la tabla siguiente y, después, haga clic en Create Now.

   Parámetro	Descripción
   Instance Type	Seleccione Global Aggregation Instance.
   Instance Name	Introduzca un nombre para la instancia de agregación global.
   Resource Group	Seleccione un resource group para la instancia.
   Tag	Las etiquetas son pares clave-valor que distinguen entre mayúsculas y minúsculas. Puede agregar hasta 20 etiquetas.
   Endpoint	El endpoint determina el punto de acceso para las solicitudes y la región donde se configuran las alertas. Seleccione la región con más instancias. Elegir una región distinta podría afectar la velocidad de acceso y la estabilidad del sistema.
   Select the instances to be aggregated	Seleccione Other Accounts (Resource Directory), elija una Resource Directory Member Account y agregue la instancia de Prometheus de destino. Nota Después de seleccionar otra cuenta (directorio de recursos), Managed Service for Prometheus cambiará el estado del servicio de confianza en el directorio de recursos a habilitado. Puede seleccionar nombres de instancias de distintas regiones para agregarlas entre sí. Antes de elegir una instancia, debe especificar el endpoint de acceso en la sección Endpoint.

   Nota

   Para editar una instancia de agregación global, haga clic en Edit dentro de la columna Operation. No modifique el endpoint después de crear la instancia, ya que esto invalida las reglas de alerta configuradas para el endpoint original.

Utilice la Cuenta B para crear un rol de RAM.

1. Inicie sesión en la consola de RAM con la Cuenta B.

2. En el panel de navegación izquierdo, seleccione Identities > Roles.

3. En la página Roles, haga clic en Create Role.

4. En la página Create Role, establezca Principal Type en Cloud Account, especifique los detalles de la cuenta de Alibaba Cloud y haga clic en OK.

5. En el paso Configure Role, establezca Role Name como AliyunPrometheusQueryRole. Para Select Trusted Alibaba Cloud Account, seleccione Other Alibaba Cloud Account e introduzca el ID de la Cuenta A. Después, haga clic en Finish.

6. Haga clic en el nombre del rol que acaba de crear. En la página de detalles del rol, seleccione la pestaña Trust Policy. Haga clic en Edit Trust Policy y modifique la política para otorgar confianza a la Cuenta A.

   Una vez creado el rol, seleccione la pestaña Trust Policy para consultar el JSON de la política de confianza. La política define Action como sts:AssumeRole, Effect como Allow, y Principal contiene el ARN de la cuenta de Alibaba Cloud de confianza.

   Nota

   Las cuentas de confianza se especifican en una matriz, por lo que puede otorgar confianza a varias cuentas al mismo tiempo.

Otorgue los permisos AliyunRAMReadOnlyAccess y AliyunARMSReadOnlyAccess al rol AliyunPrometheusQueryRole.

1. En el panel de navegación izquierdo, seleccione Identities > Role. Busque el rol de destino y haga clic en Create Authorization dentro de la columna Operation.

2. En el panel Create Authorization, dentro de la sección Policy, busque AliyunRAMReadOnlyAccess y AliyunARMSReadOnlyAccess, selecciónelos y haga clic en OK.

(Opcional) Cree un usuario de RAM para la Cuenta A.

1. Inicie sesión en la consola de RAM con la Cuenta A.

2. En el panel de navegación izquierdo, seleccione Identities > Users. En la página Users, haga clic en Create User.

3. En la página Create User, configure la información básica del usuario.

   1. Logon Name: puede contener letras, dígitos, puntos (.), guiones (-) y guiones bajos (_). El nombre admite hasta 64 caracteres.

   2. Display name: admite hasta 128 caracteres.

      Nota

      Haga clic en Create User para crear varios usuarios de RAM al mismo tiempo.

   3. Access Method: por seguridad, se recomienda seleccionar solo un modo de acceso para separar a los usuarios humanos de los usuarios de aplicación.

      • Console Access

        Si el usuario de RAM representa a una persona, se recomienda habilitar el acceso a la consola. Así podrá acceder a Alibaba Cloud con un nombre de usuario y una contraseña. Configure los parámetros siguientes:

        • Console password: elija generar una contraseña automáticamente o establecer una personalizada. La contraseña personalizada debe cumplir las reglas de complejidad configuradas. Para obtener más información, consulte Set a password policy for RAM users.

        • Password reset policy: defina si el usuario de RAM debe restablecer su contraseña en el próximo inicio de sesión.

        • Multi-factor authentication (MFA): decida si habilita la MFA para el usuario de RAM. Si la habilita, deberá vincular un dispositivo MFA. Para obtener más información, consulte Bind an MFA device for a RAM user.

      • Using permanent AccessKey to access

        Si el usuario de RAM representa una aplicación, utilice un par de AccessKey permanente para acceder a Alibaba Cloud. Al habilitarlo, el sistema genera automáticamente un AccessKey ID y un AccessKey secret. Para obtener más información, consulte Create an AccessKey pair.

        Importante

        • El AccessKey secret se muestra únicamente al momento de la creación y no se puede recuperar después. Guárdelo de forma segura.

        • Un par de AccessKey es una credencial de largo plazo. Si se ve comprometida, representa un riesgo de seguridad para todos los recursos de la cuenta. Se recomienda utilizar credenciales temporales, como los tokens de Security Token Service (STS), para reducir el riesgo de filtración. Para obtener más información, consulte Best practices for using access credentials to call Alibaba Cloud APIs.

4. Haga clic en OK.

5. Complete la verificación de seguridad según las indicaciones.

Otorgue permisos al usuario de RAM de la Cuenta A.

1. Haga clic en el nombre del usuario de RAM de destino y, después, seleccione la pestaña Permission Management.

2. Haga clic en Create Authorization. En el panel que aparece, dentro de la pestaña Policy, busque y seleccione las políticas AliyunSTSAssumeRoleAccess y AliyunARMSFullAccess. Luego, haga clic en OK.

Agregue los datos de la instancia de Prometheus.

1. Inicie sesión en la consola de Managed Service for Prometheus como el usuario de RAM de la Cuenta A.

2. En el panel de navegación izquierdo, haga clic en Instances.

3. Busque la instancia de agregación global de destino y haga clic en Edit dentro de la columna Operation. En la sección Step 3, para Select instances to aggregate, seleccione Other Accounts (Custom Authentication).

4. En el cuadro de búsqueda junto a Alibaba Cloud Account, busque la Cuenta B y haga clic en Confirm. El sistema filtra y muestra todas las instancias de Prometheus que pertenecen a la Cuenta B. Seleccione las instancias que desea agregar y haga clic en Edit Aggregation Instance.

   Nota

   Solo un usuario de RAM autorizado puede editar y guardar la configuración del monitoreo entre cuentas con autenticación personalizada. La cuenta principal de Alibaba Cloud no cuenta con este permiso.