基于Prometheus全局聚合实例进行多账号统一监控

已通过资源目录搭建了企业的多账号体系结构。资源目录更多信息，请参见资源目录概述。

通过以下任意一种方式设置可信服务的委派管理员角色。

聚合数据。

1. 使用阿里云账号A登录ARMS控制台。

2. 在左侧导航栏选择Prometheus监控 > 实例列表，进入可观测监控 Prometheus 版的实例列表页面。

3. 单击新建Prometheus实例，在新建实例页面，按照下表提示完成配置参数，然后单击立即创建。

   参数	说明
   实例类型	选择全局聚合实例。
   实例名称	自定义全局聚合实例名称。
   所属资源组	选择所属的资源组。
   标签	标签由区分大小写的键值对组成，您最多可以设置20个标签。
   访问Endpoint	Endpoint是请求的访问点、告警的配置地域。建议您选择实例数量最多的地域作为访问点，若您选择其他地域可能会影响访问速度和系统稳定性。
   选择要聚合的实例	选择其他账号（资源目录），选择资源目录成员账号，添加目标Prometheus实例。 说明 选择其他账号（资源目录）后，可观测监控 Prometheus 版会将资源目录中的可信服务启用状态设置为已启用。 您可以选择不同地域（Region）下的实例名称以实现跨地域的实例聚合，不过在您选择实例之前需要在访问Endpoint区域指定访问的Endpoint。

   说明

   您可以单击已创建的全局聚合实例右侧操作列的编辑，编辑已创建的全局聚合实例信息。请勿随意变更Endpoint信息，否则将导致在原Endpoint下配置的告警规则失效，因此不建议您随意变更Endpoint。

使用阿里云账号B创建角色。

1. 使用阿里云账号B登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 角色。

3. 在角色页面，单击创建角色。

4. 在创建角色页面，选择可信实体类型为阿里云账号，然后单击下一步。

5. 在配置角色步骤，设置角色名称为AliyunPrometheusQueryRole，然后选择信任的账号为其他云账号，并输入阿里云账号A的信息，然后单击完成。

6. 单击已创建的角色，然后单击信任策略页签，单击编辑信任策略，在弹出的面板修改信任策略，为阿里云账号A授信。

   

   说明

   这里为数组形式，即您可以为多个账号同时授信。

为AliyunPrometheusQueryRole角色授予AliyunRAMReadOnlyAccess和AliyunARMSReadOnlyAccess权限。

1. 在左侧导航栏选择身份管理 > 角色，然后单击目标角色操作列的新增授权。

2. 在新增授权面板的权限策略区域，在搜索框中输入AliyunRAMReadOnlyAccess和AliyunARMSReadOnlyAccess权限，将其选中并添加在右侧区域，然后单击确认新增授权。

（可选）为阿里云账号A创建RAM用户。

1. 使用阿里云账号A登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击创建用户。

4. 在创建用户页面的用户账号信息区域，设置用户基本信息。

   1. • 登录名称：可包含英文字母、数字、半角句号（.）、短划线（-）和下划线（_），最多64个字符。

      • 显示名称：最多包含128个字符或汉字。

      • 标签：单击，然后输入标签键和标签值。为RAM用户绑定标签，便于后续基于标签的用户管理。

      说明

      单击添加用户，可以批量创建多个RAM用户。

5. 在访问方式区域，选择访问方式，然后设置对应参数。

   1. 为了账号安全，建议您只选择以下访问方式中的一种，将人员用户和应用程序用户分离，避免混用。

      • 控制台访问

        如果RAM用户代表人员，建议启用控制台访问，使用用户名和登录密码访问阿里云。您需要设置以下参数：

        • 控制台登录密码：选择自动生成密码或者自定义密码。自定义登录密码时，密码必须满足密码复杂度规则。更多信息，请参见设置RAM用户密码强度。

        • 密码重置策略：选择RAM用户在下次登录时是否需要重置密码。

        • 多因素认证（MFA）策略：选择是否为当前RAM用户启用MFA。启用MFA后，主账号还需要为RAM用户绑定MFA设备或RAM用户自行绑定MFA设备。更多信息，请参见为RAM用户绑定MFA设备。

      • OpenAPI调用访问

        如果RAM用户代表应用程序，建议启用OpenAPI调用访问，使用访问密钥（AccessKey）访问阿里云。启用后，系统会自动为RAM用户生成一个AccessKey ID和AccessKey Secret。更多信息，请参见创建AccessKey。

        重要

        RAM用户的AccessKey Secret只在创建时显示，不支持查看，请妥善保管。

6. 单击确定。

7. 根据界面提示，完成安全验证。

阿里云账号A的RAM用户授权。

1. 单击目标RAM用户名称，然后单击权限管理页签。

2. 单击新增授权，在弹出的面板的权限策略区域通过在搜索框输入AliyunSTSAssumeRoleAccess和AliyunARMSFullAccess权限，将其选中并添加在右侧区域，然后单击确认新增授权。

聚合Prometheus实例数据。

1. 使用阿里云账号A的RAM用户登录ARMS控制台。

2. 在左侧导航栏选择Prometheus监控 > 实例列表，进入可观测监控 Prometheus 版的实例列表页面。

3. 单击目标全局聚合实例操作列的编辑，然后在STEP3区域选择要聚合的实例为其他账号（自定义鉴权）。

4. 在阿里云账号右侧搜索框中搜索阿里云账号B，单击确认，系统会过滤出阿里云账号B下的所有Prometheus实例，您可以选中对应的Prometheus实例进行聚合，然后单击编辑聚合实例。

   

   说明

   只有进行过授权的RAM用户可以编辑保存自定义授权的跨账号监控实例，阿里云账号暂无相关权限。