aws-network-monitoring

AWS Network Monitoring

概要

EC2 インスタンスへの Amazon CloudWatch Network Flow Monitor エージェントのインストールと設定に関するドメイン知識です。IAM 権限の設定、SSM Distributor またはコマンドラインによるエージェントのインストール、エージェントの有効化、検証、トラブルシューティングを取り上げます。

Network Flow Monitor エージェントは、パフォーマンスメトリクス（レイテンシ、パケット損失）を Network Flow Monitor バックエンドに送信する軽量なソフトウェアです。これにより、ワークロード間のネットワーク経路の健全性を監視できます。

AWS MCP server と併用すると最も効果的です — SSM コマンドの実行、IAM ポリシーのアタッチ、エージェントのステータスの直接検証が可能になります。ここに記載したガイダンスは、標準的な AWS CLI アクセスでも利用できます。

ルーティング

ユーザーのニーズ	対応
EC2 への Network Flow Monitor エージェントのインストール	agent-install-ec2.md を参照
Network Flow Monitor エージェント用の IAM 設定	agent-permissions.md を参照
Network Flow Monitor エージェントのトラブルシューティング（403、メトリクスがない、接続性）	troubleshooting.md を参照
複数の領域にまたがる場合	最も関連性の高いリファレンスを先に読み、必要に応じてほかのリファレンスも参照

ファイル

ファイル	内容
agent-install-ec2.md	SSM Distributor による Network Flow Monitor エージェントのエンドツーエンドのインストール、有効化、検証
agent-permissions.md	Network Flow Monitor エージェントによるメトリクス送信用の IAM ポリシー設定
troubleshooting.md	Network Flow Monitor エージェントの問題（HTTP 403、メトリクスの欠落、接続性）に関するエラー → 原因 → 対処方法

サポート対象バージョン

サポート対象の Linux ディストリビューション、カーネルバージョン、アーキテクチャについては、 AWS ドキュメントを参照してください。 Windows はサポートされていません。

セキュリティに関する考慮事項

• 最小権限の IAM：メトリクスの送信には CloudWatchNetworkFlowMonitorAgentPublishPolicy のみを、SSM 管理には AmazonSSMManagedInstanceCore のみをアタッチしてください。*FullAccess ポリシーは使用しないでください。
• プライベートサブネット：インスタンスがプライベートサブネットにある場合、トラフィックを AWS ネットワーク内にとどめるため、NAT ゲートウェイよりも SSM の VPC エンドポイント（com.amazonaws.<region>.ssm、.ssmmessages、.ec2messages）を優先してください。
• 認証情報の保存：インスタンスに AWS 認証情報を埋め込まないでください。パブリッシュポリシーは MUST インスタンスロールにアタッチし、静的キーとして設定してはなりません。
• 監査証跡：エージェントのセットアップ中に実行された SSM の SendCommand 呼び出しと IAM の AttachRolePolicy アクションがセキュリティ調査用に記録されるよう、アカウントで CloudTrail が有効になっていることを確認してください。
• 参考資料：CloudWatch Network Flow Monitor のセキュリティ、IAM のベストプラクティス