Copy page

Quelle verbinden

AWS verbinden

Verbinden Sie ein AWS-Konto über einen CloudFormation-Stack, die AWS CLI, Terraform oder eine IAM-Rolle, und lesen Sie seine Kosten aus einem FOCUS-1.2-Datenexport.

Costfluent liest AWS-Kosten über eine schreibgeschützte IAM-Rolle in Ihrem Konto. Die Rolle vertraut genau einem Costfluent-Principal, und nur mit der externen ID, die Costfluent Ihrer Organisation ausstellt. Es werden keine Zugriffsschlüssel ausgetauscht.

Die Kosten stammen aus einem AWS-Datenexport im Format FOCUS 1.2, der täglich in einen privaten S3-Bucket in Ihrem eigenen Konto geliefert wird. Er enthält amortisierte Kosten, Listenkosten, Kostenkategorien, Regionen, Ressourcen-IDs und Tags. Bis zur ersten Lieferung, und für jeden Monat, den der Export nicht abdeckt, liest Costfluent stattdessen den Cost Explorer.

Für den Bericht zum CO2-Fußabdruck liefert ein zweiter Datenexport der AWS-Tabelle CARBON_EMISSIONS die monatlichen Emissionsschätzungen von AWS in denselben Bucket und dasselbe Präfix.

Wie Costfluent verbindet

Cost Explorer, Organizations, Cost Optimization Hub und billing:GetCredits kennen keine ressourcenbezogenen Rechte, daher ist ihre Ressource *; das gewährt keinen Zugriff auf irgendetwas anderes im Konto. billing:GetCredits liest die Guthaben nur: Einlösen oder ändern kann die Rolle keines. Die S3-Rechte gibt es nur, wenn es einen Export gibt. Inhalte von Objekten liest die Rolle nur unter dem Präfix des Exports, costfluent/; auflisten darf sie den ganzen Bucket, und eine Liste zeigt nur Schlüsselnamen, keine Inhalte. Der CO2-Emissions-Export liegt unter demselben Präfix, daher liest die Rolle ihn mit denselben zwei Rechten.

Genau das gewähren Versionen des Terraform-Moduls ab 0.4.0 und Stacks aus der aktuellen Vorlage. Einer früher angelegten Rolle fehlt billing:GetCredits, und sie funktioniert weiter: AWS lehnt das tägliche Lesen der Guthaben durch Costfluent ab, und es zählen die auf der Karte Guthaben erfassten Guthaben (Guthaben), bis Sie die Rolle aktualisieren. Eine Rolle, die mit Modulversion 0.2.1 oder früher oder aus der damaligen Vorlage angelegt wurde, darf außerdem jedes Objekt im Export-Bucket lesen.

Voraussetzungen

Verbinden Sie das Managementkonto Ihrer AWS-Organisation einmal. Sein Export deckt alle Mitgliedskonten ab, und Costfluent listet die Mitglieder an der Verbindung auf. Ein zusätzlich verbundenes Mitgliedskonto würde seine Kosten doppelt zählen, daher lehnt Costfluent eine Verbindung ab, deren Konten bereits eine andere AWS-Verbindung abdeckt.

Ein einzeln verbundenes Mitgliedskonto erhält einen eigenen Export, der nur die Kosten dieses Kontos enthält. Eine Service Control Policy kann Datenexporte in einem Mitgliedskonto sperren; setzen Sie dort CreateCostExport auf der Schnellerstellungsseite von AWS auf false, dann wird das Konto nur aus dem Cost Explorer gelesen. Ein Einzelkonto wird wie ein Managementkonto behandelt.

Verbinden

Über die AWS-Konsole verbinden

Das ist der Standardweg.

Der Link gilt 24 Stunden und verbindet nur mit der Organisation, die ihn erzeugt hat. Schlägt der Costfluent-Teil des Stacks fehl, zeigen die Seite und CloudFormation den Grund, und der Stack wird zurückgerollt. Schlägt zuerst ein anderer Teil des Stacks fehl, zeigt die Seite „Der Stack hat sich nicht zurückgemeldet. Der Tab „Ereignisse“ in CloudFormation nennt die Ressource, die fehlgeschlagen ist.“ und verlinkt Fehlerbehebung, wo steht, welcher Parameter diese Ressource abschaltet.

Über die AWS CLI verbinden

Übernehmen Sie im Tab Verbinden unter Anzeigename den vorgeschlagenen Namen oder geben Sie einen eigenen ein und wählen Sie dann unter Weitere Verbindungsoptionen den Eintrag AWS CLI. Costfluent zeigt einen Befehl aws cloudformation create-stack mit derselben Vorlage und denselben Parametern, und die Verbindung erhält diesen Namen, sobald sich der Stack zurückmeldet. Führen Sie ihn mit Zugangsdaten für das zu verbindende Konto aus:

Code
aws cloudformation create-stack \
  --stack-name Costfluent-1a2b3c4d \
  --template-url <die Vorlagen-URL, die Costfluent anzeigt> \
  --capabilities CAPABILITY_IAM \
  --region us-east-1 \
  --parameters ParameterKey=CostfluentPrincipalArn,ParameterValue=... # und die übrigen

Der Stack meldet sich genauso zurück wie beim Weg über die Konsole.

Mit Terraform verbinden

Unter Weitere Verbindungsoptionen zeigt Terraform dieselbe Konfiguration mit Ihrem Principal und Ihrer externen ID. Das Modul costfluent/cost-access/aws legt die Rolle an und, wenn Sie einen Bucket angeben, den Bucket, den Kostenexport und den CO2-Emissions-Export (carbon_export_name, standardmäßig costfluent-carbon). Die Datenquelle costfluent_aws_provider_info liest Principal und externe ID für Sie:

Code
provider "aws" {
  region = "us-east-1"
}

data "costfluent_aws_provider_info" "this" {}

module "costfluent_aws" {
  source  = "costfluent/cost-access/aws"
  version = "~> 0.4"

  costfluent_principal_arn = data.costfluent_aws_provider_info.this.principal_arn
  external_id              = data.costfluent_aws_provider_info.this.external_id
  cost_export_bucket_name  = "acme-costfluent-export" # in einem Mitgliedskonto weglassen
}

resource "costfluent_provider" "aws" {
  key          = "aws"
  display_name = "AWS"
  credentials  = module.costfluent_aws.credentials
  settings     = module.costfluent_aws.settings
}

costfluent_provider versucht es bis zu drei Minuten erneut, während sich die neue Rolle in IAM verbreitet. Die Ausgabe settings des Moduls enthält carbon_export_name, wenn es den CO2-Emissions-Export angelegt hat. Diesen Export anzulegen setzt für die Person, die das Modul anwendet, sustainability:GetCarbonFootprintSummary voraus; ohne das Recht setzen Sie carbon_export_name = "", dann legt das Modul keinen an. Damit die gelieferten Dateien in der EU bleiben, setzen Sie cost_export_bucket_region; der Export selbst läuft immer in us-east-1.

Über die IAM-Konsole verbinden

Die Berechtigungsrichtlinie erlaubt der Rolle, Objekte nur unter dem Präfix costfluent zu lesen und den ganzen Bucket aufzulisten, was nur Schlüsselnamen zeigt, keine Inhalte. Setzt die Verbindung über die Public API oder Terraform ein anderes export_prefix, passen Sie das Präfix in der Richtlinie entsprechend an.

Wenn Sie den Export selbst anlegen, muss er ein Export FOCUS 1.2 with AWS columns (FOCUS_1_2_AWS) mit allen Spalten sein, mit täglicher Granularität, CSV mit GZIP-Kompression und Overwrite existing data export file, geliefert in einen Bucket, den die Rolle lesen darf, unter dem Präfix costfluent mit dem Exportnamen costfluent-focus. Ein CO2-Emissions-Export daneben ist ein Datenexport der Tabelle CARBON_EMISSIONS mit allen Spalten, im Format Parquet, in denselben Bucket und dasselbe Präfix; costfluent-carbon ist der Name, den das Modul ihm gibt. Der CloudFormation-Stack benennt seine beiden Exporte costfluent-focus-… und costfluent-carbon-…, mit einem Suffix, das für jede Verbindung ein anderes ist.

Daten und Aktualität

Historie und erste Lieferung

Beim Verbinden wird so weit zurück importiert, wie der rückwirkende Import Ihres Tarifs reicht, höchstens sechs Monate (Verbindungen verwalten). AWS liefert den ersten Export innerhalb von 24 bis 72 Stunden nach dem Anlegen. Bis dahin zeigt die Verbindung Kosten aus dem Cost Explorer, und Costfluent ersetzt sie durch die Zeilen des Exports, sobald die Lieferung eintrifft. Costfluent liest bei jeder Synchronisierung den laufenden Monat neu, in den ersten fünfzehn Tagen auch den Vormonat, weil AWS den Vormonat bis zu zwei Wochen nach Monatsende noch aktualisiert. Aktualisiert AWS danach den Export eines abgeschlossenen Monats, etwa für eine Erstattung oder Gutschrift, erfasst Costfluent diesen Monat erneut, so weit zurück, wie die Historie Ihres Tarifs reicht, höchstens drei Jahre. Ein Monat, der zuerst aus dem Cost Explorer gelesen wurde, wird aus dem Export erneut gelesen, sobald der Export ihn liefert.

Monate vor der ersten Lieferung des Exports und jeder Monat, den er nicht abdeckt, stammen aus dem Cost Explorer, der Kosten nach Dienst und Konto meldet, aber keine Tags und keine Ressourcen kennt: Regeln können diese Kosten nicht zuordnen, und die Tag-Abdeckung zählt sie als nicht getaggt. Ein Kostenbericht, Abdeckung auf der Seite Segmente und die Karte Tag-Abdeckung nennen diese Monate.

Ein neuer Export beginnt mit dem laufenden Monat. Um bis zu 14 Monate Historie hineinzubringen, eröffnen Sie aus dem Managementkonto, das den Export hält, beim AWS Support einen Fall (Billing, Data Exports), der den Export und die Monate nennt, mit der Bitte, ihn nachzufüllen; vor die Entstehung des Kontos reicht kein Nachfüllen zurück. Erfassen Sie diese Monate nach der Bestätigung durch AWS mit einer vollständigen Synchronisierung neu: Ältere Monate abrufen auf der Karte Importe der Verbindung, solange sie ältere Monate anbietet, oder die Synchronisierung der Public API mit "fullSync": true (Automatische Synchronisierung).

Was es Sie kostet

Costfluent liest den Export von außerhalb von AWS, daher ist das Lesen S3-Datenübertragung nach außen auf Ihrer Rechnung. Ein täglicher Export umfasst typischerweise wenige Megabyte im Monat. Jede Cost-Explorer-Anfrage von Costfluent kostet 0,01 USD, und Costfluent stellt sie nur für Monate ohne Export, mindestens zwei bei jedem Abruf eines solchen Monats (Kosten nach Dienst, dann Gutschriften, Erstattungen und Steuern), für Verbindungsprüfungen und für die monatliche Kontrollsumme. Die Guthaben des Kontos liest Costfluent mit einer GetCredits-Anfrage am Tag je Verbindung; die Preisseiten von AWS nennen dafür mit Stand 2026-10-26 keine Gebühr.

CO2-Emissions-Export

AWS veröffentlicht die Emissionen jedes Monats bis zum 21. des Folgemonats, und die erste Lieferung des Exports reicht bis Januar 2022 zurück. Costfluent liest ihn am 22. (CO2-Fußabdruck). Ein Stack aus einer früheren Vorlage oder eine Modulversion ohne carbon_export_name hat keinen CO2-Emissions-Export angelegt: legen Sie einen an, wie Über die IAM-Konsole verbinden beschreibt, oder wenden Sie die aktuelle Modulversion an, und setzen Sie dann carbon_export_name an der Verbindung über settings in Terraform oder PUT /v1/providers/{providerId} der Public API. Gesendete Einstellungen ersetzen die gespeicherten, daher senden Sie jede Exporteinstellung der Verbindung mit.

Berichtsdimensionen

Was jede Gruppierungsdimension eines Kostenberichts für eine AWS-Verbindung enthält und aus welcher Spalte des Exports sie stammt.

Ein über AWS Marketplace für Amazon Bedrock gekauftes Modell gibt seine Nutzung in Millionen Tokens an, als Units; Costfluent speichert sie als Tokens, einzeln gezählt, sodass die Messgröße Nutzung sie mit den Tokens anderer Anbieter summiert. Andere Bedrock-Nutzung behält die Einheit, die der Export angibt.

aws:payerAccountId lässt sich wie jeder Tag gruppieren und filtern, aber Costfluent fügt ihn selbst hinzu, daher macht er eine Zeile weder für Getaggt noch für die Tag-Abdeckung oder eine Abdeckungswarnung getaggt (Tags und Tag-Abdeckung).

Bis zur ersten Lieferung des Exports und für jeden Monat, den der Export nicht abdeckt, stammen die Zeilen aus dem Cost Explorer und tragen nur Dienst, Unterkonto, den Tag aws:payerAccountId und den Nutzungsmonat als Abrechnungszeitraum: Region ist Global und Ressource ist leer. Gutschriften und Steuern sind eigene Zeilen, mit der Kostenkategorie Credit oder Tax und dem Dienst Credit oder Tax; eine Erstattung ist eine Usage-Zeile mit dem Dienst Refund, als Korrektur markiert, daher entscheidet Erstattungen einbeziehen, ob sie zählt. Jede andere Zeile ist Usage.

Aktualisieren oder trennen

Nach dem Verbinden

Der Tab Verwalten listet die Verbindung unter ihrem Anzeigenamen, mit ihrer AWS-Konto-ID, ihrer Rolle und ihrem Export-Bucket. Über das Zahnrad daneben sehen Sie, ob die Rolle noch angenommen und der Bucket gelesen werden kann, welche Workspaces die Verbindung speist, welche Abrechnungsmonate importiert wurden, und die Karte Konten: das Managementkonto als Wird gesammelt und jedes Mitgliedskonto als Abgedeckt. Prüfungen ausführen führt diese Prüfungen erneut aus und meldet jede einzeln.

Rolle aktualisieren

Eine Rolle, die angelegt wurde, bevor billing:GetCredits dazukam, funktioniert ohne das Recht weiter (Wie Costfluent verbindet). Damit Costfluent Ihre Guthaben von AWS liest, geben Sie der Rolle das Recht auf demselben Weg, auf dem Sie sie angelegt haben:

• CloudFormation-Stack: Aktualisieren Sie den Stack in der CloudFormation-Konsole in us-east-1, ersetzen Sie seine Vorlage durch die Vorlagen-URL aus dem Befehl, den Costfluent unter Weitere Verbindungsoptionen, AWS CLI anzeigt (Über die AWS CLI verbinden), und behalten Sie die Werte aller Parameter bei.
• Terraform: Setzen Sie die version des Moduls auf ~> 0.4 und führen Sie dann terraform init -upgrade und terraform apply aus.
• IAM-Konsole: Fügen Sie die Anweisung CreditsReadOnly aus der Berechtigungsrichtlinie, die Costfluent unter Weitere Verbindungsoptionen, AWS-IAM-Konsole zeigt, der Richtlinie der Rolle hinzu.

Das nächste tägliche Lesen von Costfluent übernimmt dann die Guthaben von AWS.

Zugriff entfernen

Löschen Sie den Stack oder bauen Sie die Terraform-Konfiguration ab, um die Rolle zu entfernen; der Zugriff von Costfluent endet mit ihr.

CloudFormation behält den Export-Bucket, damit Ihre Historie in Ihrem Konto bleibt. terraform destroy versucht, auch den Bucket zu löschen, und S3 lehnt das ab, solange er noch Dateien enthält. Entfernen Sie die Verbindung auch in Costfluent; das löscht die von ihr importierten Kosten (Verbindung entfernen).

Fehlerbehebung

Eine Überschrift je Meldung, wie die Verbindungsseite, der Tab Verbinden oder die Schnellerstellungsseite von AWS sie zeigt. Prüfungen ausführen auf der Verbindungsseite führt die beiden Verbindungsprüfungen erneut aus.

Costfluent konnte sich nicht mit den AWS-Zugangsdaten anmelden.

Die Rolle lässt sich nicht übernehmen: Die Vertrauensrichtlinie der Rolle nennt den Principal von Costfluent nicht, die externe ID darin ist nicht die, die Costfluent Ihrer Organisation ausgestellt hat, oder die Rolle wurde gelöscht. Vergleichen Sie die Vertrauensrichtlinie der Rolle mit der unter AWS-IAM-Konsole auf dem Tab Verbinden (Über die IAM-Konsole verbinden); ein von Costfluent erstellter Stack enthält beides.

Costfluent konnte keine Kostendaten von AWS lesen.

Die Rolle wird übernommen, aber Cost Explorer oder der Export-Bucket hat sie nicht lesen lassen; die Meldung neben der Prüfung nennt die Ursache. Die Rolle braucht ce:GetCostAndUsage und, wenn es einen Export gibt, s3:ListBucket auf dem Export-Bucket und s3:GetObject auf seinen Objekten unter dem Präfix des Exports (costfluent/, sofern die Verbindung kein anderes setzt). Fehlt eine davon, stellen Sie die Berechtigungsrichtlinie wieder her (Wie Costfluent verbindet). Nach terraform destroy oder einem gelöschten Stack ist die Rolle selbst weg, und stattdessen schlägt die erste Prüfung fehl.

Auch der Bucket oder seine Region kann falsch eingetragen sein. Sagt die Meldung, Costfluent habe den Bucket in seiner Region nicht adressieren können, ist die Region des Export-Buckets keine Region, in der S3 erreichbar ist, etwa weil sie falsch geschrieben ist. Enthält sie die Ablehnung von S3 selbst, etwa PermanentRedirect oder AuthorizationHeaderMalformed für einen Bucket in einer anderen Region oder InvalidBucketName, vergleichen Sie Export-Bucket und Region des Export-Buckets, in der Meldung export_bucket und export_bucket_region, mit dem Bucket in der S3-Konsole. Sagt sie, AWS sei nicht erreichbar gewesen, hat S3 nicht geantwortet, und über Ihre Einstellungen sagt das nichts: Beim Verbinden wird die Verbindung trotzdem gespeichert, und Costfluent prüft sie automatisch erneut.

Cost Optimization Hub ist für dieses AWS-Konto nicht eingeschaltet

Die Verbindung bleibt in Ordnung, und die Kosten kommen weiter an; nur die eigenen Sparempfehlungen von AWS warten. Die Prüfung Sparempfehlungen zeigt Nicht ausgeführt mit diesem Satz, und Einsparungen nennt die Verbindung, solange die Liste leer ist. Schalten Sie den Hub im Managementkonto ein: Öffnen Sie in der AWS-Konsole Billing and Cost Management, dann Cost Optimization Hub, und wählen Sie Enable einschließlich der Mitgliedskonten, oder führen Sie Folgendes aus:

Code
aws cost-optimization-hub update-enrollment-status --status Active --include-member-accounts --region us-east-1

Aktivieren Sie auch AWS Compute Optimizer. AWS braucht bis zu einem Tag für die ersten Empfehlungen, die dann unter Einsparungen erscheinen, und die nächste Prüfung zeigt Bestanden.

Costfluent konnte keine Sparempfehlungen von AWS lesen.

Kosten kommen weiterhin an, und die Verbindung gilt als beeinträchtigt, bis das behoben ist. Cost Optimization Hub hat die Rolle abgewiesen: Der Berechtigungsrichtlinie fehlt cost-optimization-hub:ListRecommendations (Wie Costfluent verbindet). Fehlt der Richtlinie auch cost-optimization-hub:ListEnrollmentStatuses, wie einer Rolle, die angelegt wurde, bevor Costfluent die Registrierung las, kann sie das nicht von einem nicht eingeschalteten Hub unterscheiden, und die Meldung neben der Prüfung nennt beide Ursachen. Ergänzen Sie beide Aktionen in der Richtlinie der Rolle, dann unterscheidet die nächste Prüfung sie; ein nicht eingeschalteter Hub ist dann der Abschnitt oben.

Der Stack konnte sich nicht verbinden

CloudFormation lief, aber der Teil von Costfluent ist fehlgeschlagen; die Seite zeigt den Grund nach dem Doppelpunkt, und der Stack wird zurückgerollt. Beheben Sie die genannte Ursache und beginnen Sie auf dem Tab Verbinden erneut, der einen neuen Link ausstellt (Über die AWS-Konsole verbinden).

Der Stack hat sich nicht zurückgemeldet. Der Tab „Ereignisse“ in CloudFormation nennt die Ressource, die fehlgeschlagen ist.

Ein anderer Teil des Stacks ist vor dem von Costfluent fehlgeschlagen, daher hat sich nichts zurückgemeldet. Öffnen Sie den Stack in CloudFormation (us-east-1), suchen Sie auf seinem Tab Ereignisse die erste fehlgeschlagene Ressource, löschen Sie den Stack und beginnen Sie auf dem Tab Verbinden erneut, mit dem Parameter, den diese Ressource braucht:

• CarbonExport: Setzen Sie CreateCarbonExport auf false. Meist fehlt der Person, die den Stack erstellt, sustainability:GetCarbonFootprintSummary; die Verbindung hat dann keine CO2-Emissionsdaten.
• FocusExport oder ExportBucket: Setzen Sie CreateCostExport auf false, etwa wenn eine Service Control Policy Datenexporte in einem Mitgliedskonto sperrt. Die Verbindung liest dann nur den Cost Explorer, ohne Ressourcen und Tags.
• FocusExport oder CarbonExport mit Cannot create duplicate export name oder an der Quote von AWS: Ein Konto hält höchstens zwei FOCUS-1.2-Exporte und zwei CO2-Emissions-Exporte. Jeder neue Link benennt seine Exporte eigens, ein neuer Link kommt also an einem doppelten Namen vorbei. Für einen dritten Stack im Konto lesen Sie einen Export, den das Konto schon liefert (BucketExists und ExportExists auf true), und setzen CreateCarbonExport auf false.

Ein Quick-Create-Link läuft außerdem nach 24 Stunden ab.

Template format error: Unrecognized resource types: [AWS::BCMDataExports::Export]

Die Schnellerstellungsseite von AWS zeigt das, wenn die Konsole in einer anderen Region als us-east-1 steht, etwa nachdem die Region in ihrer Kopfzeile gewechselt wurde. Die Datenexporte des Stacks gibt es nur in us-east-1, daher lehnt CloudFormation die Vorlage ab, bevor etwas angelegt wird. Brechen Sie ab, stellen Sie die Konsole auf US East (N. Virginia) und beginnen Sie auf dem Tab Verbinden erneut.

Das AWS-Konto … wird bereits von einer anderen AWS-Verbindung in dieser Organisation erfasst

Das Konto, das Sie verbinden, ist Mitglied einer Organisation, deren Managementkonto bereits verbunden ist, oder es ist dieses Managementkonto: Seine Kosten würden doppelt zählen. Verbinden Sie das Managementkonto einmal; seine Mitglieder werden darüber erfasst (Voraussetzungen). Der abgelehnte Stack wird zurückgerollt, behält aber seinen Export-Bucket: Löschen Sie den Stack, falls er noch aufgeführt ist, dann den leeren Bucket costfluent-export-… in us-east-1.

Ressourcennamen und Tags fehlen

Die Zeilen stammen noch aus dem Cost Explorer, der Kosten nur nach Dienst und Konto gruppiert: keine Ressource, keine Tags und die Region Global. AWS liefert den ersten Export 24 bis 72 Stunden, nachdem der Stack ihn angelegt hat, und Costfluent ersetzt diese Zeilen, sobald er eintrifft (Historie und erste Lieferung). Eine Verbindung mit CreateCostExport auf false hat keinen Export und liest weiter den Cost Explorer.