Comment diffuser des données depuis CloudWatch Logs vers un cluster Amazon OpenSearch Service basé sur VPC dans un autre compte ?

Brève description

Pour diffuser des données depuis CloudWatch Logs vers le cluster OpenSearch Service d'un autre compte, effectuez les opérations suivantes :

1.    Configurez CloudWatch Logs dans le compte A.

2.    Configurez AWS Lambda dans le compte A.

3.    Configurez l’appairage entre comptes Amazon Virtual Private Cloud (Amazon VPC).

Résolution

Configurer les journaux CloudWatch dans le compte A

1.    Ouvrez la console CloudWatch Logs dans le compte A et sélectionnez votre groupe de journaux.

2.    Choisissez Actions.

3.    Choisissez le filtre Créer un abonnement OpenSearch.

4.    Pour l'option Sélectionner un compte, sélectionnez Ce compte.

5.    Dans la liste déroulante des clusters OpenSearch Service, choisissez un cluster existant pour le compte A.

6.    Choisissez le rôle d'exécution Lambda IAM autorisé à effectuer des appels vers le cluster OpenSearch Service sélectionné.

7.    Attachez la politique AWSLambDAVPCCcessExecutionRole à votre rôle.

8.    Dans Configurer le format de journal et les filtres, sélectionnez votre Format de journal et votre Modèle de filtre d'abonnement.

9.    Choisissez Suivant.

10.    Entrez le nom du filtre d'abonnement et choisissez Démarrer le streaming. Pour en savoir plus sur le streaming, consultez la rubrique Diffusion de données CloudWatch Logs vers Amazon OpenSearch Service.

Configurer Lambda dans le compte A

1.    Dans le compte A, ouvrez la console Lambda.

2.    Sélectionnez la fonction Lambda que vous avez créée pour diffuser le journal.

3.    Dans le code de fonction, mettez à jour la variable de point de terminaison du cluster OpenSearch Service dans le compte B. Cette mise à jour permet à la fonction Lambda d'envoyer des données au domaine OpenSearch Service dans le compte B.

4.    Choisissez Configuration.

5.    Choisissez VPC.

6.    Sous VPC, choisissez Modifier.

7.    Sélectionnez votre VPC, vos sous-réseaux et vos groupes de sécurité.

**Remarque :**Cette sélection garantit que la fonction Lambda s'exécute au sein d'un VPC, en utilisant le routage VPC pour renvoyer des données au domaine OpenSearch Service. Pour en savoir plus sur les configurations d'Amazon Virtual Private Cloud (Amazon VPC), consultez Configuration d'une fonction Lambda pour accéder aux ressources d'un VPC.

8.    Choisissez Enregistrer.

Configuration de l'appairage VPC entre comptes

1.    Ouvrez la console Amazon VPC dans les comptes A et B.

**Remarque :**assurez-vous que les blocs d'adresse CIDR de votre VPC ne se chevauchent pas.

2.    Créez une session d'appairage VPC entre les deux VPC personnalisés (Lambda et OpenSearch Service). Cette session d'appairage VPC permet à Lambda d'envoyer des données à votre domaine OpenSearch Service. Pour en savoir plus sur les connexions d'appairage VPC, consultez la rubrique Créer une connexion d'appairage VPC.

3.    Mettez à jour la table de routage pour les deux VPC. Pour en savoir plus sur les tables de routage, voir Mettre à jour vos tables de routage pour une connexion d'appairage VPC.

4.    Dans le compte A, accédez à Groupes de sécurité.

5.    Sélectionnez le groupe de sécurité attribué au sous-réseau sur lequel Lambda est configuré.

Remarque : dans ce cas, le « groupe de sécurité » fait référence à une ACL de réseau de sous-réseau.

6.    Ajoutez la règle entrante pour autoriser le trafic provenant des sous-réseaux d'OpenSearch Service.

7.    Dans le compte B, sélectionnez le groupe de sécurité attribué au sous-réseau dans lequel OpenSearch Service est configuré.

8.    Ajoutez la règle entrante pour autoriser le trafic provenant des sous-réseaux Lambda.

9.    Dans le compte B, ouvrez la console OpenSearch Service.

10.    Choisissez Actions.

11.    Choisissez Modifier la politique d'accès, puis ajoutez la politique suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {

    "AWS": "arn:aws:iam::<AWS Account A>:role/<Lambda Execution Role>"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:us-east-1: ::<AWS
    Account B>:domain/<OpenSearch Domain Name>/*"
    }
  ]
}

Cette politique permet à OpenSearch Service de passer des appels à partir du rôle d'exécution de la fonction Lambda.

12.    Vérifiez la métrique du nombre d'erreurs et du taux de réussite dans la console Lambda. Cette métrique vérifie si les journaux sont correctement transmis à OpenSearch Service.

13.    Vérifiez la métrique du taux d'indexation dans OpenSearch Service pour confirmer si les données ont été envoyées. CloudWatch Logs diffuse désormais sur les deux comptes de votre Amazon VPC.