CloudWatch のクロスアカウント設定と、クロスアカウントオブザーバビリティはどんな違いがあるのか

# はじめに

[前の記事](https://qiita.com/sugimount-a/items/0fe9f0245afc4ba7de25) で、CloudWatch で複数 AWS アカウントのメトリクスやログを管理するクロスアカウントオブザーバビリティの機能を紹介しました。ただ、クロスアカウントオブザーバビリティより前にも、クロスアカウントに関する機能が提供されていました。これらの機能との違いを確認するために、いままでのクロスアカウントに関する機能を触ってみます。

結論から書くと、クロスアカウントオブザーバビリティのみ有効にするだけで基本的には十分だとおもいます。既存のクロスアカウントに関する機能の優位点は以下の2点を感じました。

- スイッチロールの設定が自動的にされる
- ソースアカウント (管理される側) で、既に設定している Alarm を有効活用できる

また、クロスアカウントオブザーバビリティとクロスアカウント設定を両方とも利用することが出来ます。両方やってみるのも、クロスアカウントオブザーバビリティだけ有効化してみるも、馴染んだ方でやってみてもよいでしょう。


では、設定方法、および、どのように見えるか確認してみます。



# ソースアカウント (管理される) 側

管理される側で Settings を開き、Cross-account cross-region views from any account の Configure を選択します。

![image-20221211171022258.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/146574fa-5c4c-81de-1639-0eedddf7c96a.png)



Add account を押して、一元管理する側の AWS アカウントを選択します。

![image-20221211171645409.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/1fbdb42e-185a-b27b-a198-b5665291e4a2.png)



一元管理したい AWS アカウントの id を指定します。

![image-20221211171815190.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/ac3e596c-2cd1-54f1-30cd-960b8081e13d.png)



Launch CloudFormation Template を押します。これにより、ソースアカウント (管理される側) で、IAM Role が作成されます。

![image-20221211171853205.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/f89a4d29-7cc3-bdfc-f58e-4af4946de1d6.png)



Confirm を入力して、Launch template を押します。

![image-20221211171916636.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/1333ca32-138a-f06d-ae64-dda2e693f600.png)



Create Stack を押します。

![image-20221211171941971.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/819d9107-e5d9-b899-ec9b-fdc7f8b582e7.png)



この Stack により、IAM Role が作成されました。

![image-20221211172036886.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/414403eb-93d3-f597-d892-eff576529b14.png)



次に、モニタリングアカウント側の設定をします。



# モニタリングアカウント (一元管理) 側

Settings にある、Cross-account cross-region views from any account で、Configure を押します。

![image-20221211172417570.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/e38d4207-6819-be8c-48b9-ab20b6f7bcb5.png)



この環境では、Organizations を有効にしています。Organizations 配下の全ての AWS アカウントを管理対象にするため、AWS Organization account selector を選択し、Enable を押します。

![image-20221211172457132.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/42cb954e-1c3c-36a0-4dde-a7486e1c78a0.png)



![image-20221211172521784.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/059d5bb8-fdae-19a6-48e7-87dcad638051.png)



これで準備完了です。どのように複数の AWS アカウントを管理できるのか見ていきましょう。



# CloudWatch Alarm

CloudWatch Alarm の画面を表示します。画面上部に、表示したい AWS アカウントの一覧を選択できるようになっています。

![image-20221211173158094.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/f6078abd-f45a-4178-69c0-56bed132b139.png)



ソースアカウント (管理される側) で既に設定しているアラームが見えます。

![image-20221211173215225.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/4a0c497d-10f7-a6e3-1e0b-287cadc8f31c.png)



プルダウンで各 AWS アカウントを選択する側で、それぞれのデータが見える機能になっています。



# Logs

この機能では、ソースアカウントの Logs は確認できません。前述の、[クロスアカウントオブザーバビリティ](https://qiita.com/sugimount-a/items/0fe9f0245afc4ba7de25)ではログも見えるので、そちらの方がメリットがあります。

![image-20221211174021239.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/a60ccd53-a5d9-7493-6f72-ea1616418014.png)



# Metrics

プルダウンから、ソースアカウントを選択することで、それぞれの AWS アカウントのメトリクスがみえます。ただ、この機能と同等のことは クロスアカウントオブザーバビリティにもあります。

更に、クロスアカウントオブザーバビリティでは複数の AWS アカウントにまたいだダッシュボードの作成などができるため、基本的には クロスアカウントオブザーバビリティ 側で行うのが良いでしょう。

![image-20221211174258033.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/49040d54-767f-c8ff-7d19-40a48886c8dd.png)



# スイッチロール

この機能に優位性として、スイッチロールに関する設定が自動的に入っています。

![image-20221211174425998.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/9a485918-31dd-bdf6-d250-7bdebb8633d3.png)



sub1

![image-20221211174450325.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/3b5078e2-659f-60f5-17fd-446d80d39c23.png)



見えなかった Logs などが確認できるようになっています。

![image-20221211174518490.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/d5e84593-eaeb-b0ac-f3ab-80d985bd3db6.png)



# 検証してわかったこと

- スイッチロールが出来る用になっているので、便利
- 既存のソースアカウント (管理される側) で設定した既存の Alarm が見えるので便利
  - クロスアカウントオブザーバビリティでは、既存の設定した Alarm は見えない。再設定することで一元管理は出来るが、再設定が手間な場面もありえる。
- クロスアカウントオブザーバビリティと一緒に設定すると、若干画面が混乱するので、上記の2点のメリットが感じられない場合は、クロスアカウントオブザーバビリティ単体で十分な印象。