Application Real-Time Monitoring Service:グローバル集約インスタンスによる複数アカウントの監視

Resource Directory を使用して、企業向けのマルチアカウント構成を設定済みであること。Resource Directory の詳細については、「What is Resource Directory?」をご参照ください。

次のいずれかの方法で、信頼されたサービスの委任管理者アカウントを設定します。

データを集約します。

1. Alibaba Cloud アカウント A を使用して、ARMS console にログインします。

2. 左側のナビゲーションウィンドウで、Prometheusのマネージドサービス > インスタンス.

3. Prometheus インスタンスの作成 をクリックします。新規インスタンスの作成 ページで、次の表に従ってパラメータを設定し、今すぐ作成 をクリックします。

   パラメータ	説明
   [インスタンスタイプ]	グローバル集約インスタンス を選択します。
   [Instance Name]	グローバル集約インスタンスの名前を任意に入力します。
   [属するリソースグループ]	リソースグループを選択します。
   [タグ]	タグは大文字と小文字が区別されるキーと値のペアです。最大 20 個のタグを追加できます。
   Access endpoint	エンドポイントは、API リクエストおよびアラートルールの設定に使用するリージョンを指定します。インスタンスが最も多いリージョンを選択してください。別のリージョンを選択するとレイテンシが増加し、安定性に影響する可能性があります。
   [集約するインスタンスの選択]	その他のアカウント (リソースディレクトリ) を選択します。リソースディレクトリメンバーのアカウント リストから、対象の Prometheus インスタンスを選択して追加します。 説明 [その他のアカウント (リソースディレクトリ)] を選択すると、Managed Service for Prometheus がお客様のリソースディレクトリで信頼されたサービスとして自動的に有効になります。 異なるリージョンのインスタンスを選択して、リージョン間でデータを集約できます。インスタンスを選択する前に、[Access Endpoint] を指定する必要があります。

   説明

   作成済みのグローバル集約インスタンスは、Operation 列の [Edit] をクリックして設定を変更できます。エンドポイントを設定した後に変更すると既存のアラートルールが無効になるため、変更は避けてください。

Alibaba Cloud アカウント B に RAM ロールを作成します。

1. Alibaba Cloud アカウント B を使用して RAM console にログインします。

2. 左側のナビゲーションペインで、アイデンティティ > ロール の順に選択します。

3. ロール ページで、ロール作成 をクリックします。

4. ロール作成 ページの Principal Type で、アカウント を選択します。次に、信頼できる Alibaba Cloud アカウントを指定し、OK をクリックします。

5. RAM ロールの設定 ステップで、ロール名 を AliyunPrometheusQueryRole に設定します。信頼できる Alibaba Cloud アカウントを選択 では、他の Alibaba Cloud アカウント を選択し、Alibaba Cloud アカウント A の ID を入力します。次に、Finish をクリックします。

6. 新規作成したロールの名前をクリックします。トラスト規則 タブで 編集トラスト規則 をクリックし、Alibaba Cloud アカウント A に権限を付与するようにポリシーを変更します。Action が sts:AssumeRole、Effect が Allow であること、および Principal に信頼する Alibaba Cloud アカウントの ARN が含まれていることを確認します。

   説明

   Principal は配列にでき、複数のアカウントに信頼を付与できます。

AliyunPrometheusQueryRole ロールに AliyunRAMReadOnlyAccess と AliyunARMSReadOnlyAccess の権限を付与します。

1. ナビゲーションペインで、アイデンティティ > Role を選択します。対象のロールを見つけ、Operation 列の 権限を新規付与する をクリックします。

2. 権限を新規付与する パネルの 権限ポリシー セクションで、検索ボックスに AliyunRAMReadOnlyAccess と AliyunARMSReadOnlyAccess を入力し、これらの権限を選択してから、Grant permissions をクリックします。

(オプション) Alibaba Cloud アカウント A に RAM ユーザーを作成します。

1. Alibaba Cloud アカウント A を使用して RAM console にログインします。

2. ナビゲーションペインで、[Identities] > [Users] を選択します。[Users] ページで、[Create User] をクリックします。

3. ユーザーの作成 ページで、ユーザー情報を設定します。

   1. ログイン名：英字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用できます。名前は最大 64 文字です。

   2. Display name：最大 128 文字です。

      説明

      ユーザーの追加 をクリックすると、複数の RAM ユーザーを一度に作成できます。

   3. アクセス方法：セキュリティのため、人のユーザーとアプリケーションユーザーを分離する目的で、アクセス方法は1つのみ選択することを推奨します。

      • コンソールへのアクセス

        人のユーザーの場合は、コンソールアクセスを有効にすることを推奨します。ユーザーはユーザー名とパスワードで Alibaba Cloud コンソールにログインできます。次のパラメータを設定する必要があります。

        • [Console Password]：自動生成またはカスタムを選択します。カスタムパスワードは、パスワードの複雑性ルールを満たす必要があります。詳細については、「Set a password policy for RAM users」をご参照ください。

        • [Password Reset]：次回ログイン時に RAM ユーザーにパスワードリセットを要求するかどうかを選択します。

        • 多要素認証 (MFA)：RAM ユーザーに MFA を有効化するかどうかを選択します。MFA を有効化する場合は、MFA デバイスをバインドする必要があります。詳細については、「Bind an MFA device for a RAM user」をご参照ください。

      • Using permanent AccessKey to access

        アプリケーションユーザーの場合は、このオプションを選択して API アクセス用の AccessKey ペアを生成します。このオプションを有効にすると、システムが RAM ユーザーの AccessKey ID とシークレットを自動生成します。詳細については、「Create an AccessKey pair」をご参照ください。

        重要

        • AccessKey シークレットは作成時に1回だけ表示され、後から取得できません。安全な場所に保存してください。

        • AccessKey ペアは長期的な認証情報です。ペアが漏えいすると、アカウント内のすべてのリソースがリスクにさらされます。このリスクを軽減するために、Security Token Service (STS) トークンなどの一時的な認証情報を使用して、認証情報漏えいのリスクを低減できます。詳細については、「Best practices for using access credentials to call Alibaba Cloud APIs」をご参照ください。

4. [OK] をクリックします。

5. 画面の指示に従ってセキュリティ検証を完了します。

Alibaba Cloud アカウント A の RAM ユーザーに権限を付与します。

1. 対象の RAM ユーザーの名前をクリックし、権限管理 タブをクリックします。

2. 権限を新規付与する をクリックします。 表示されるパネルの 権限ポリシー エリアで、検索ボックスに AliyunSTSAssumeRoleAccess と AliyunARMSFullAccess を入力します。 権限を選択し、右側のエリアに追加します。 次に、Grant permissions をクリックします。

Prometheus インスタンスのデータを集約します。

1. Alibaba Cloud アカウント A の RAM ユーザーとして、ARMS console にログインします。

2. 左側のナビゲーションウィンドウで、Prometheusのマネージドサービス > インスタンス.

3. 対象のグローバル集約インスタンスを見つけ、Operation 列の 編集 をクリックします。[Step 3] セクションの 選択 [instances to aggregate] で、その他のアカウント (カスタム認証) を選択します。

4. Alibaba Cloud アカウント の横にある検索ボックスで、Alibaba Cloud アカウント B を検索し、Confirm をクリックします。システムがアカウント B のすべての Prometheus インスタンスを一覧表示します。集約するインスタンスを選択し、集約インスタンスの編集 をクリックします。

   説明

   カスタム認証を使用するクロスアカウントインスタンスの設定を変更して保存できるのは、権限を付与された RAM ユーザーのみです。ルートの Alibaba Cloud アカウントではこの操作を実行できません。