Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Überwachen Sie die Nutzung eines gemeinsam genutzten Amazon Machine Image über mehrere AWS-Konten
Erstellt von Naveen Suthar (AWS) und Sandeep Gawande (AWS)
cross-account-ami-auditingQuellcode-Repository | Umgebung: PoC oder Pilot | Technologien: Verwaltung und Verwaltung; Serverlos DevOps; Betrieb |
AWS-Dienste: Amazon DynamoDB; AWS Lambda; Amazon EventBridge |
Übersicht
Amazon Machine Images (AMIs) werden verwendet, um Amazon Elastic Compute Cloud (Amazon EC2) -Instances in Ihrer Amazon Web Services (AWS) -Umgebung zu erstellen. Sie können AMIs in einem separaten, zentralisierten AWS-Konto erstellen, das in diesem Muster als Creator-Konto bezeichnet wird. Sie können das AMI dann für mehrere AWS-Konten in derselben AWS-Region gemeinsam nutzen, die in diesem Muster als Verbraucherkonten bezeichnet werden. Die Verwaltung von AMIs von einem einzigen Konto aus bietet Skalierbarkeit und vereinfacht die Verwaltung. In den Verbraucherkonten können Sie auf das gemeinsam genutzte AMI in Amazon EC2 Auto Scaling Scaling-Startvorlagen und Amazon Elastic Kubernetes Service (Amazon EKS) -Knotengruppen verweisen.
Wenn ein gemeinsam genutztes AMI veraltet, deregistriert oder nicht gemeinsam genutzt wird, können AWS-Services, die in den Verbraucherkonten auf das AMI verweisen, dieses AMI nicht verwenden, um neue Instances zu starten. Jedes Auto Scaling-Ereignis oder jeder Relaunch derselben Instance schlägt fehl. Dies kann zu Problemen in der Produktionsumgebung führen, z. B. zu Anwendungsausfällen oder Leistungseinbußen. Wenn AMI-Sharing- und Nutzungsereignisse in mehreren AWS-Konten auftreten, kann es schwierig sein, diese Aktivität zu überwachen.
Dieses Muster hilft Ihnen dabei, die gemeinsame AMI-Nutzung und den Status von Konten in derselben Region zu überwachen. Es verwendet serverlose AWS-Services wie Amazon EventBridge, Amazon DynamoDB, AWS Lambda und Amazon Simple Email Service (Amazon SES). Sie stellen die Infrastruktur als Code (IaC) mithilfe von Terraform bereit. HashiCorp Diese Lösung gibt Warnmeldungen aus, wenn ein Dienst in einem Verbraucherkonto auf ein abgemeldetes oder nicht gemeinsam genutztes AMI verweist.
Voraussetzungen und Einschränkungen
Voraussetzungen
Zwei oder mehr aktive AWS-Konten: ein Erstellerkonto und ein oder mehrere Verbraucherkonten
Eine oder mehrere AMIs, die vom Erstellerkonto auf ein Verbraucherkonto übertragen werden
Terraform CLI, installiert
(Terraform-Dokumentation) Terraform AWS-Anbieter, konfiguriert
(Terraform-Dokumentation) (Optional, aber empfohlen) Terraform-Backend, konfiguriert (Terraform-Dokumentation)
Git, installiert
Einschränkungen
Dieses Muster überwacht AMIs, die für bestimmte Konten gemeinsam genutzt wurden, anhand der Konto-ID. Dieses Muster überwacht keine AMIs, die mithilfe der Organisations-ID für eine Organisation gemeinsam genutzt wurden.
AMIs können nur mit Konten geteilt werden, die sich in derselben AWS-Region befinden. Dieses Muster überwacht AMIs innerhalb einer einzelnen Zielregion. Um die Verwendung von AMIs in mehreren Regionen zu überwachen, setzen Sie diese Lösung in jeder Region ein.
Dieses Muster überwacht keine AMIs, die vor der Bereitstellung dieser Lösung gemeinsam genutzt wurden. Wenn Sie zuvor gemeinsam genutzte AMIs überwachen möchten, können Sie die gemeinsame Nutzung des AMI aufheben und es dann erneut mit den Benutzerkonten teilen.
Produktversionen
Terraform Version 1.2.0 oder höher
Terraform AWS Provider Version 4.20 oder höher
Architektur
Zieltechnologie-Stack
Die folgenden Ressourcen werden als IaC über Terraform bereitgestellt:
Amazon-DynamoDB-Tabellen
EventBridge Amazon-Regeln
Rolle „AWS Identity and Access Management“ (IAM)
Funktionen von AWS Lambda
Amazon SES
Zielarchitektur
![Architektur zur Überwachung der gemeinsamen AMI-Nutzung und zur Benachrichtigung von Benutzern, wenn das AMI nicht gemeinsam genutzt oder deregistriert ist](images/pattern-img/2d709249-0c68-47d7-be5d-46e8a73071ed/images/8c48c4dd-d681-4c32-9ba8-8f5ad2d66f64.png)
Das Diagramm zeigt den folgenden Workflow:
Ein AMI im Erstellerkonto wird mit einem Verbraucherkonto in derselben AWS-Region geteilt.
Wenn das AMI geteilt wird, erfasst eine EventBridge Amazon-Regel im Erstellerkonto das
ModifyImageAttribute
Ereignis und initiiert eine Lambda-Funktion im Erstellerkonto.Die Lambda-Funktion speichert Daten, die sich auf das AMI beziehen, in einer DynamoDB-Tabelle im Creator-Konto.
Wenn ein AWS-Service im Verbraucherkonto das gemeinsam genutzte AMI verwendet, um eine Amazon EC2 EC2-Instance zu starten, oder wenn das gemeinsam genutzte AMI mit einer Startvorlage verknüpft ist, erfasst eine EventBridge Regel im Verbraucherkonto die Verwendung des gemeinsam genutzten AMI.
Die EventBridge Regel initiiert eine Lambda-Funktion im Verbraucherkonto. Die Lambda-Funktion bewirkt Folgendes:
Die Lambda-Funktion aktualisiert die AMI-bezogenen Daten in einer DynamoDB-Tabelle im Verbraucherkonto.
Die Lambda-Funktion nimmt eine IAM-Rolle im Creator-Konto an und aktualisiert die DynamoDB-Tabelle im Creator-Konto. In der
Mapping
Tabelle wird ein Element erstellt, das die Instance-ID oder die Startvorlagen-ID der jeweiligen AMI-ID zuordnet.
Das AMI, das zentral im Creator-Konto verwaltet wird, ist veraltet, deregistriert oder nicht gemeinsam genutzt.
Die EventBridge Regel im Creator-Konto erfasst das
ModifyImageAttribute
DeregisterImage
OR-Ereignis mit derremove
Aktion und initiiert die Lambda-Funktion.Die Lambda-Funktion überprüft die DynamoDB-Tabelle, um festzustellen, ob das AMI in einem der Verbraucherkonten verwendet wird. Wenn dem AMI in der
Mapping
Tabelle keine Instance-IDs oder Startvorlagen-IDs zugeordnet sind, ist der Vorgang abgeschlossen.Wenn dem AMI in der
Mapping
Tabelle Instance-IDs oder Startvorlagen-IDs zugeordnet sind, verwendet die Lambda-Funktion Amazon SES, um eine E-Mail-Benachrichtigung an die konfigurierten Abonnenten zu senden.
Tools
AWS-Services
Amazon DynamoDB ist ein vollständig verwalteter NoSQL-Datenbank-Service, der schnelle und planbare Leistung mit nahtloser Skalierbarkeit bereitstellt.
Amazon EventBridge ist ein serverloser Event-Bus-Service, mit dem Sie Ihre Anwendungen mit Echtzeitdaten aus einer Vielzahl von Quellen verbinden können. Zum Beispiel AWS-Lambda-Funktionen, HTTP-Aufruf-Endpunkte, die API-Ziele verwenden, oder Event-Busse in anderen AWS-Konten.
AWS Identity and Access Management (IAM) hilft Ihnen dabei, den Zugriff auf Ihre AWS-Ressourcen sicher zu verwalten, indem kontrolliert wird, wer authentifiziert und autorisiert ist, diese zu verwenden.
AWS Lambda ist ein Rechenservice, mit dem Sie Code ausführen können, ohne Server bereitstellen oder verwalten zu müssen. Er führt Ihren Code nur bei Bedarf aus und skaliert automatisch, sodass Sie nur für die tatsächlich genutzte Rechenzeit zahlen.
Amazon Simple Email Service (Amazon SES) unterstützt Sie beim Senden und Empfangen von E-Mails mithilfe Ihrer eigenen E-Mail-Adressen und Domains.
Andere Tools
HashiCorp Terraform
ist ein Open-Source-Tool für Infrastruktur als Code (IaC), mit dem Sie mithilfe von Code Cloud-Infrastruktur und -Ressourcen bereitstellen und verwalten können. Python
ist eine Allzweck-Computerprogrammiersprache.
Code-Repository
Der Code für dieses Muster ist im Repository GitHub cross-account-ami-monitoring-terraform-samples
Bewährte Methoden
Folgen Sie den Best Practices für die Arbeit mit AWS Lambda Lambda-Funktionen.
Folgen Sie den Best Practices für die Erstellung von AMIs.
Halten Sie sich bei der Erstellung der IAM-Rolle an das Prinzip der geringsten Rechte und gewähren Sie nur die für die Ausführung einer Aufgabe erforderlichen Mindestberechtigungen. Weitere Informationen finden Sie in der IAM-Dokumentation unter Gewährung der geringsten Rechte und bewährte Methoden zur Sicherheit.
Richten Sie Überwachung und Warnmeldungen für die AWS Lambda Lambda-Funktionen ein. Weitere Informationen finden Sie unter Überwachung und Problembehandlung von Lambda-Funktionen.
Epen
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Erstellen Sie die AWS-CLI mit dem Namen Profile. | Erstellen Sie für das Erstellerkonto und jedes Verbraucherkonto ein AWS-Befehlszeileninterface (AWS CLI) mit dem Namen Profile. Anweisungen finden Sie unter Einrichten der AWS-CLI | DevOps Ingenieur |
Klonen Sie das Repository | Geben Sie den folgenden Befehl ein. Dadurch wird das Repository cross-account-ami-monitoring-terraform-samples
| DevOps Ingenieur |
Aktualisieren Sie die Datei provider.tf. |
Weitere Informationen zur Konfiguration der Anbieter finden Sie unter Konfigurationen mehrerer Anbieter | DevOps Ingenieur |
Aktualisieren Sie die Datei terraform.tfvars. |
| DevOps Ingenieur |
Aktualisieren Sie die Datei main.tf. | Führen Sie diese Schritte nur aus, wenn Sie diese Lösung für mehr als ein Kundenkonto bereitstellen. Wenn Sie diese Lösung nur für ein Verbraucherkonto bereitstellen, ist keine Änderung dieser Datei erforderlich.
| DevOps Ingenieur |
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Stellen Sie die Lösung bereit. | Geben Sie in der Terraform-CLI die folgenden Befehle ein, um die AWS-Ressourcen in den Creator- und Consumer-Konten bereitzustellen:
| DevOps Ingenieur |
Überprüfen Sie die Identität der E-Mail-Adresse. | Bei der Bereitstellung des Terraform-Plans hat Terraform für jedes Verbraucherkonto in Amazon SES eine E-Mail-Adressidentität erstellt. Bevor Benachrichtigungen an diese E-Mail-Adresse gesendet werden können, müssen Sie die E-Mail-Adresse überprüfen. Anweisungen finden Sie in der Amazon SES SES-Dokumentation unter Verifizieren der Identität einer E-Mail-Adresse. | Allgemeines AWS |
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Bestätigen Sie die Bereitstellung im Creator-Konto. |
| DevOps Ingenieur |
Überprüfen Sie die Bereitstellung im Kundenkonto. |
| DevOps Ingenieur |
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Erstellen Sie ein AMI im Creator-Konto. |
| DevOps Ingenieur |
Verwenden Sie das AMI im Verbraucherkonto. | Verwenden Sie im Verbraucherkonto das gemeinsam genutzte AMI, um eine EC2-Instance oder eine Startvorlage zu erstellen. Anweisungen finden Sie unter Wie starte ich eine EC2-Instance von einem benutzerdefinierten AMI aus | DevOps Ingenieur |
Überprüfen Sie die Überwachung und Alarmierung. |
| DevOps Ingenieur |
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Löschen Sie die Ressourcen. |
| DevOps Ingenieur |
Fehlerbehebung
Problem | Lösung |
---|---|
Ich habe keine E-Mail-Benachrichtigung erhalten. | Es kann mehrere Gründe geben, warum die Amazon SES SES-E-Mail nicht gesendet wurde. Überprüfen Sie, ob Folgendes der Fall ist:
|
Zugehörige Ressourcen
AWS-Dokumentation
Lambda-Funktionen mit Python erstellen (Lambda-Dokumentation)
Ein AMI erstellen (Amazon EC2 EC2-Dokumentation)
Teilen Sie ein AMI mit bestimmten AWS-Konten (Amazon EC2 EC2-Dokumentation)
Ihr AMI abmelden (Amazon EC2 EC2-Dokumentation)
Terraform-Dokumentation