Einrichten und Aktivieren von „Enhanced Monitoring“ (Erweiterte Überwachung)

Um Enhanced Monitoring verwenden zu können, müssen Sie eine IAM Rolle erstellen und dann Enhanced Monitoring aktivieren.

Eine IAM Rolle für Enhanced Monitoring erstellen

Für Enhanced Monitoring ist die Erlaubnis erforderlich, in Ihrem Namen handeln zu dürfen, um Betriebssystem-Metrikinformationen an CloudWatch Logs zu senden. Sie gewähren Enhanced Monitoring-Berechtigungen mithilfe einer AWS Identity and Access Management (IAM) -Rolle. Sie können diese Rolle entweder erstellen, wenn Sie „Enhanced Monitoring“ (Erweiterte Überwachung) aktivieren oder vorher erstellen.

Die IAM Rolle wird erstellt, wenn Sie Enhanced Monitoring aktivieren

Wenn Sie Enhanced Monitoring in der RDS Konsole aktivieren, RDS kann Amazon die erforderliche IAM Rolle für Sie erstellen. Der Name der Rolle lautet rds-monitoring-role. RDSverwendet diese Rolle für die angegebene DB-Instance, Read Replica oder den Multi-AZ-DB-Cluster.

Erstellen Sie die IAM Rolle, bevor Sie Enhanced Monitoring aktivieren

Sie können die erforderliche Rolle erstellen, bevor Sie „Enhanced Monitoring“ (Erweiterte Überwachung) aktivieren. Wenn Sie „Enhanced Monitoring“ (Erweiterte Überwachung) aktivieren, geben Sie den Namen Ihrer neuen Rolle an. Sie müssen diese erforderliche Rolle erstellen, wenn Sie Enhanced Monitoring mit dem AWS CLI oder dem aktivieren RDSAPI.

Der Benutzer, der „Enhanced Monitoring“ (Erweiterte Überwachung) aktiviert, muss über die PassRole-Berechtigung verfügen. Weitere Informationen finden Sie unter Beispiel 2 unter Erteilen von Benutzerberechtigungen zur Übergabe einer Rolle an einen AWS Dienst im IAMBenutzerhandbuch.

Aktivieren und Deaktivieren von „Enhanced Monitoring“ (Erweiterte Überwachung)

Sie können die erweiterte Überwachung mithilfe von, oder verwalten. AWS Management Console AWS CLI RDS API Sie können für jede unterschiedliche Granularitäten für die Erfassung von Metriken festlegen.

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-cluster \
    --db-cluster-identifier mydbcluster \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-cluster ^
    --db-cluster-identifier mydbcluster ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

Schutz vor dem Confused-Deputy-Problem

Das Problem des verwirrten Stellvertreters ist ein Sicherheitsproblem, bei dem eine Entität, die keine Berechtigung zur Durchführung einer Aktion hat, eine privilegiertere Entität zur Durchführung der Aktion zwingen kann. In AWS kann ein dienstübergreifendes Identitätswechsels zum Problem des verwirrten Stellvertreters führen. Ein dienstübergreifender Identitätswechsel kann auftreten, wenn ein Dienst (der Anruf-Dienst) einen anderen Dienst anruft (den aufgerufenen Dienst). Der aufrufende Service kann manipuliert werden, um seine Berechtigungen zu verwenden, um Aktionen auf die Ressourcen eines anderen Kunden auszuführen, für die er sonst keine Zugriffsberechtigung haben sollte. Um dies zu verhindern, bietet AWS Tools, mit denen Sie Ihre Daten für alle Services mit Serviceprinzipalen schützen können, die Zugriff auf Ressourcen in Ihrem Konto erhalten haben. Weitere Informationen finden Sie unter Confused-Deputy-Problem.

Um die Berechtigungen auf die Ressource zu beschränken, die Amazon einem anderen Service gewähren RDS kann, empfehlen wir, die Kontextschlüssel aws:SourceArn und die aws:SourceAccount globalen Bedingungsschlüssel in einer Vertrauensrichtlinie für Ihre Enhanced Monitoring-Rolle zu verwenden. Wenn Sie beide globalen Bedingungskontextschlüssel verwenden, müssen diese dieselbe Konto-ID verwenden.

Der effektivste Weg, sich vor dem Problem mit dem verwirrten Stellvertreter zu schützen, besteht darin, den Kontextschlüssel „aws:SourceArnGlobal Condition“ mit ARN der gesamten Ressource zu verwenden. Stellen Sie für Amazon RDS aws:SourceArn auf einarn:aws:rds:Region:my-account-id:db:dbname.

Im folgenden Beispiel werden die globalen Bedingungskontextschlüssel aws:SourceArn und aws:SourceAccount in einer Vertrauensrichtlinie verwendet, um das Confused-Deputy-Problem zu verhindern.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "monitoring.rds.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringLike": {
          "aws:SourceArn": "arn:aws:rds:Region:my-account-id:db:dbname"
        },
        "StringEquals": {
          "aws:SourceAccount": "my-account-id"
        }
      }
    }
  ]
}