Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Integrazione dei runbook di Systems Manager Automation in Incident Manager per la correzione degli incidenti

È possibile utilizzare i runbook di AWS Systems Manager Automation, una funzionalità di AWS Systems Manager, per automatizzare le attività comuni delle applicazioni e dell'infrastruttura nel proprio ambiente. Cloud AWS

Ogni runbook definisce un workflow di runbook, composto dalle azioni eseguite da Systems Manager sui nodi gestiti o su altri tipi di AWS risorse. È possibile utilizzare i runbook per automatizzare la manutenzione, l'implementazione e la riparazione delle risorse. AWS

In Incident Manager, un runbook favorisce la risposta e la mitigazione degli incidenti e si specifica un runbook da utilizzare come parte di un piano di risposta.

Nei piani di risposta, puoi scegliere tra dozzine di runbook preconfigurati per le attività più comunemente automatizzate oppure puoi creare runbook personalizzati. Quando si specifica un runbook nella definizione di un piano di risposta, il sistema può avviare automaticamente il runbook all'inizio di un incidente.

Per ulteriori informazioni su Systems Manager Automation, i runbook e l'utilizzo dei runbook con Incident Manager, vedere i seguenti argomenti:

IAMautorizzazioni necessarie per avviare ed eseguire i flussi di lavoro dei runbook

Incident Manager richiede le autorizzazioni per eseguire i runbook come parte della risposta agli incidenti. Per fornire queste autorizzazioni, si utilizzano i ruoli AWS Identity and Access Management (IAM), il ruolo del servizio Runbook e l'automazione. AssumeRole

Il ruolo di servizio Runbook è un ruolo di servizio obbligatorio. Questo ruolo fornisce a Incident Manager le autorizzazioni necessarie per accedere e avviare il flusso di lavoro per il runbook.

L'automazione AssumeRole fornisce le autorizzazioni necessarie per eseguire i singoli comandi specificati nel runbook.

Per ulteriori informazioni sull'automazioneAssumeRole, consulta «Configurazione dell'accesso ai ruoli di servizio (assumi il ruolo) per le automazioni» nella Guida per l'AWS Systems Manager utente.

Puoi creare manualmente entrambi i tipi di ruolo nella IAM console.- Puoi anche lasciare che Incident Manager ne crei uno per te quando crei o aggiorni un piano di risposta.

Autorizzazioni per i ruoli di servizio Runbook

Le autorizzazioni per i ruoli del servizio Runbook vengono fornite tramite una politica simile alla seguente.

La prima istruzione consente a Incident Manager di avviare l'StartAutomationExecutionoperazione Systems Manager. Questa operazione viene quindi eseguita su risorse rappresentate dai tre formati Amazon Resource Name (ARN).

La seconda istruzione consente al ruolo del servizio Runbook di assumere un ruolo in un altro account quando tale runbook viene eseguito nell'account interessato. Per ulteriori informazioni, consulta Esecuzione di automazioni in più account nella Regioni AWS Guida per l'utente.AWS Systems Manager

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ssm:StartAutomationExecution",
      "Resource": [
        "arn:aws:ssm:*:{{DocumentAccountId}}:automation-definition/{{DocumentName}}:*",
        "arn:aws:ssm:*:{{DocumentAccountId}}:document/{{DocumentName}}:*",
        "arn:aws:ssm:*::automation-definition/{{DocumentName}}:*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::*:role/AWS-SystemsManager-AutomationExecutionRole",
      "Condition": {
        "StringEquals": {
          "aws:CalledViaLast": "ssm.amazonaws.com"
        }
      }
    }
  ]
}

Autorizzazioni di automazione AssumeRole

Quando crei o aggiorni un piano di risposta, puoi scegliere tra diverse policy AWS gestite da allegare a AssumeRole quella creata da Incident Manager. Queste policy forniscono le autorizzazioni per eseguire una serie di operazioni comuni utilizzate negli scenari di runbook di Incident Manager. Puoi scegliere una o più di queste politiche gestite per fornire le autorizzazioni per la tua politica. AssumeRole La tabella seguente descrive le politiche tra cui è possibile scegliere quando si crea una AssumeRole dalla console Incident Manager.

È possibile utilizzare queste politiche gestite per concedere le autorizzazioni per molti scenari comuni di risposta agli incidenti. Tuttavia, le autorizzazioni richieste per le attività specifiche necessarie possono variare. In questi casi, devi fornire autorizzazioni politiche aggiuntive per il tuo. AssumeRole Per informazioni, consulta il riferimento all'AWS Systems Manager Automation Runbook.

Utilizzo dei parametri del runbook

Quando si aggiunge un runbook a un piano di risposta, è possibile specificare i parametri che il runbook deve utilizzare in fase di esecuzione. I piani di risposta supportano parametri con valori statici e dinamici. Per i valori statici, inserisci il valore quando definisci il parametro nel piano di risposta. Per i valori dinamici, il sistema determina il valore corretto del parametro raccogliendo informazioni dall'incidente. Incident Manager supporta i seguenti parametri dinamici:

Informazioni sulle risorse associate

Incident Manager può compilare i valori dei parametri ARNs del runbook con le AWS risorse specificate negli CloudWatch allarmi, negli EventBridge eventi e negli incidenti creati manualmente. Questa sezione descrive i diversi tipi di risorse che Incident Manager può acquisire ARNs durante la compilazione di questo parametro.

CloudWatch allarmi

Quando viene creato un incidente a seguito di un'azione di CloudWatch allarme, Incident Manager estrae automaticamente i seguenti tipi di risorse dalle metriche associate. Quindi popola i parametri scelti con le seguenti risorse coinvolte:

EventBridge regole

Quando il sistema crea un incidente da un EventBridge evento, Incident Manager popola i parametri scelti con la Resources proprietà dell'evento. Per ulteriori informazioni, consulta EventBridgegli eventi Amazon nella Amazon EventBridge User Guide.

Incidenti creati manualmente

Quando si crea un incidente utilizzando l'StartIncidentAPIazione, Incident Manager inserisce i parametri scelti utilizzando le informazioni contenute nella API chiamata. In particolare, popola i parametri utilizzando elementi del tipo INVOLVED_RESOURCE che vengono passati nel relatedItems parametro.

Definire un runbook

Quando si crea un runbook, è possibile seguire i passaggi indicati qui oppure seguire la guida più dettagliata fornita nella sezione Working with runbook della Systems Manager User Guide. Se stai creando un runbook con più account e più regioni, consulta Running automations in multiple Regioni AWS and accounts nella Systems Manager User Guide.

Per abilitare la funzionalità tra più account, condividi il runbook nel tuo account di gestione con tutti gli account delle applicazioni che lo utilizzano durante un incidente.

Modello di runbook di Incident Manager

Incident Manager fornisce il seguente modello di runbook per aiutare il team a iniziare a creare runbook nell'automazione di Systems Manager. È possibile utilizzare questo modello così com'è o modificarlo per includere dettagli specifici dell'applicazione e delle risorse.

AWSIncidents-CriticalIncidentRunbookTemplate

AWSIncidents-CriticalIncidentRunbookTemplateSi tratta di un modello che fornisce il ciclo di vita degli incidenti di Incident Manager in passaggi manuali. Questi passaggi sono abbastanza generici da poter essere utilizzati nella maggior parte delle applicazioni, ma sufficientemente dettagliati da consentire ai soccorritori di iniziare a risolvere gli incidenti.