Configurare e abilitare il monitoraggio avanzato

Per utilizzare il monitoraggio avanzato, è necessario creare un IAM ruolo e quindi abilitare il monitoraggio avanzato.

Creazione di un IAM ruolo per Enhanced Monitoring

Enhanced Monitoring richiede l'autorizzazione ad agire per conto dell'utente per inviare le informazioni sui parametri del sistema operativo ai CloudWatch registri. Concedete le autorizzazioni di Enhanced Monitoring utilizzando un ruolo AWS Identity and Access Management ()IAM. È possibile creare questo ruolo quando si abilita il monitoraggio avanzato o lo si crea in anticipo.

Creazione del IAM ruolo quando si abilita il monitoraggio avanzato

Quando abiliti Enhanced Monitoring nella RDS console, Amazon RDS può creare il IAM ruolo richiesto per te. Il ruolo è denominato rds-monitoring-role. RDSutilizza questo ruolo per l'istanza DB specificata, la replica di lettura o il cluster DB Multi-AZ.

Creare il IAM ruolo prima di abilitare il monitoraggio avanzato

È possibile creare il ruolo richiesto prima di abilitare Enhanced Monitoring. Quando si abilita Enhanced Monitoring, specifica il nome del nuovo ruolo. È necessario creare questo ruolo obbligatorio se si abilita il monitoraggio avanzato utilizzando AWS CLI o il RDSAPI.

L'utente che abilita il monitoraggio avanzato deve ricevere l'autorizzazione PassRole. Per ulteriori informazioni, vedere l'Esempio 2 in Concessione a un utente delle autorizzazioni per il trasferimento di un ruolo a un AWS servizio nella Guida per l'IAMutente.

Attivazione e disattivazione del monitoraggio avanzato

Puoi gestire il monitoraggio avanzato utilizzando, o. AWS Management Console AWS CLI RDS API È possibile impostare diverse granularità per la raccolta delle metriche su ogni istanza DB del .

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-cluster \
    --db-cluster-identifier mydbcluster \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-cluster ^
    --db-cluster-identifier mydbcluster ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

Protezione dal problema del "confused deputy"

Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire una certa operazione può costringere un'entità con più privilegi a eseguire tale operazione. Nel AWS, l'impersonificazione tra servizi può portare alla confusione del problema del vicesceriffo. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l'accesso alle risorse del tuo account. Per ulteriori informazioni, consulta Problema del "confused deputy".

Per limitare le autorizzazioni alla risorsa che Amazon RDS può fornire a un altro servizio, ti consigliamo di utilizzare le chiavi di contesto delle aws:SourceArn condizioni aws:SourceAccount globali in una politica di fiducia per il tuo ruolo di Enhanced Monitoring. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, devono utilizzare lo stesso ID account.

Il modo più efficace per proteggersi dal confuso problema del vicesceriffo consiste nell'utilizzare la chiave aws:SourceArn global condition context con ARN l'intera risorsa. Per AmazonRDS, imposta aws:SourceArn suarn:aws:rds:Region:my-account-id:db:dbname.

L'esempio seguente usa le chiavi di contesto delle condizioni globali aws:SourceArn e aws:SourceAccount in una policy di affidabilità per prevenire il problema del "confused deputy".

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "monitoring.rds.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringLike": {
          "aws:SourceArn": "arn:aws:rds:Region:my-account-id:db:dbname"
        },
        "StringEquals": {
          "aws:SourceAccount": "my-account-id"
        }
      }
    }
  ]
}