amazon-web-services - 为不同客户隔离 CloudWatch 指标

Question

让我们想象一个如下所示的系统：

• 有一个云应用程序从各种设备收集传感器指标并将这些指标保存到 AWS 的 CloudWatch 中。
• 这些物联网设备可能属于客户 X 或客户 Y。
• 在 Grafana 中为每个客户创建一个单独的组织。因此，就仪表板而言，它们是孤立的。

问题是指标存储在一个通用 AWS 账户中（即使它们存储在单独的 CloudWatch 命名空间中）！因此，客户 X 的成员可以通过添加访问客户 Y 的命名空间的数据源来查看客户 Y 的指标。

是否有一种机制可以使用单独的凭证来安全地隔离 CloudWatch 命名空间？或者其他解决方案（除了为每个客户拥有一个单独的 AWS 账户）来解决这个问题？

标签： amazon-web-servicesmulti-tenantgrafanaamazon-cloudwatch

Answer 1

您可以使用 IAM 角色和条件键来限制对特定 CloudWatch 命名空间的访问。因此，每个 Grafana 组织都将使用自己的有限 IAM 角色。