使用SSM在本地服务器上安装AWS CloudWatch Agent
内容提要
本指南介绍了如何在本地服务器上安装AWS CloudWatch Agent，使用AWS Systems Manager (SSM)。通过创建混合激活并注册服务器，安装和配置CloudWatch Agent，以及将日志发送到CloudWatch，可以监控混合环境中的本地服务器和云资源。
延伸解读
混合激活的关键作用
在将本地服务器注册到AWS Systems Manager时，混合激活是核心步骤。它生成激活代码和ID，用于安全地注册非EC2实例。文章强调需设置实例限制和过期日期，并关联具有必要权限的IAM角色。这确保了本地服务器能像EC2实例一样被SSM管理，为后续安装CloudWatch Agent奠定基础。
IAM用户凭证的配置要点
由于本地服务器不在AWS内，CloudWatch Agent需使用IAM用户凭证发送日志。文章指导创建具有CloudWatchAgentServerPolicy等策略的IAM用户，并通过AWS CLI配置名为AmazonCloudWatchAgent的配置文件。同时，需更新common-config.toml文件以指定凭证配置文件和路径，确保Agent正确使用这些凭证。
日志组KMS加密的当前限制
文章指出，CloudWatch Agent目前不支持在创建日志组时直接启用KMS加密。这意味着日志组会以未加密状态创建。作为变通，需先让Agent创建日志组，然后手动使用AWS CLI命令关联KMS密钥。这一限制可能影响安全合规要求，用户需额外步骤来确保日志加密。
Q&A
如何在本地服务器上安装AWS CloudWatch Agent？
可以通过AWS Systems Manager创建混合激活，注册服务器，然后使用SSM Agent安装CloudWatch Agent。
创建混合激活的步骤是什么？
登录AWS管理控制台，选择混合激活，点击创建激活，填写描述、实例限制和IAM角色，最后保存激活代码和ID。
如何配置CloudWatch Agent以发送日志？
需要创建一个具有必要权限的IAM用户，配置服务器使用该用户的凭证，并更新CloudWatch Agent的配置文件。
在Debian服务器上如何安装SSM Agent？
通过更新软件包列表，下载并安装SSM Agent，然后使用激活代码和ID注册服务器。
CloudWatch Agent当前支持KMS加密吗？
CloudWatch Agent当前不支持日志组的KMS加密，需要手动关联KMS密钥。
如何监控CloudWatch Agent的运行状态？
可以通过查看CloudWatch Agent的日志文件来监控其运行状态，使用命令'sudo tail -f /opt/aws/amazon-cloudwatch-agent/logs/amazon-cloudwatch-agent.log'。
