用于多个 aws 账户的 Datadog AWS 集成答案

【问题标题】：Datadog AWS integration for multiple aws account用于多个 aws 账户的 Datadog AWS 集成
【发布时间】：2019-12-27 03:22:21
【问题描述】：

我有两个 AWS 帐户，我可以使用 Terraform 为第一个帐户设置 AWS 集成，但是当我尝试为我的第二个帐户创建 AWS 集成时出现错误。

我创建了一个使用内联策略的角色，但我们没有设置跨账户。

! Datadog is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::xxxxxxxxxx:role/DatadogAWSIntegrationRole. See http://docs.datadoghq.com/integrations/aws/

信任关系：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::xxxxxxxxxxxx:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "xxxxxxxxxxxxxxxxxxxxxxxxxx"
        }
      }
    }
  ]
}

谁能指导我如何解决这个错误？

【问题讨论】：

我不知道您可以使用 terraform 来设置 Datadog AWS 集成（我是否正确理解您的问题？）。但是，将多个 AWS 账户添加到 Datadog AWS 集成中应该不会有任何问题。从一个帐户到另一个帐户的工作方式应该相同。 Have you seen this part of the guide?
是的，我没有为这两个帐户设置跨帐户访问权限，datadog 建议这样做，这可能是我不确定的问题

标签： amazon-web-services amazon-iam datadog

【解决方案1】：

角色 arn:aws:iam::xxxxxxxxxx:role/DatadogAWSIntegrationRole 还必须具有在其他账户上担任该角色的权限。

您必须更新主账户上的 DatadogAWSIntegrationRole 以包括：

{
"Version": "2012-10-17",
"Statement": [
                ...
                {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": "arn:aws:iam::xxxxxxxxxxxx:role/AssumedRoleForDataDogInOtherAccount"
                }
            ]
}

【讨论】：