設定並啟用增強型監控

若要使用增強型監控，您必須建立IAM角色，然後啟用增強型監控。

建立增強型監控IAM的角色

增強型監控需要許可，才能代表您將作業系統指標資訊傳送至 CloudWatch Logs。您可以使用 AWS Identity and Access Management （IAM） 角色授予增強型監控許可。您可以在啟用增強型監控時建立此角色，也可以事先建立。

啟用增強型監控時建立IAM角色

當您在RDS主控台中啟用增強型監控時，Amazon RDS可以為您建立所需的IAM角色。角色已命名 rds-monitoring-role。RDS 會將此角色用於指定的資料庫執行個體、僅供讀取複本或多可用區域資料庫叢集。

在啟用增強型監控之前建立IAM角色

您可以在啟用增強型監控之前建立必要的角色。啟用增強型監控時，請指定新角色的名稱。如果您使用 AWS CLI 或 RDS 啟用增強型監控，則必須建立此必要角色API。

必須將 PassRole 許可授予會啟用增強型監控的使用者。如需詳細資訊，請參閱 IAM 使用者指南 中的授予使用者將角色傳遞給 AWS 服務的權限中的範例 2。

開啟和關閉增強型監控

您可以使用 AWS Management Console AWS CLI、 或 RDS 管理增強型監控API。您可以在每個資料庫執行個體 上設定指標集合的不同精細度。

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-cluster \
    --db-cluster-identifier mydbcluster \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

aws rds modify-db-cluster ^
    --db-cluster-identifier mydbcluster ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

防範混淆代理人問題

混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。如需詳細資訊，請參閱混淆代理人問題。

若要將許可限制為 Amazon RDS可以提供其他服務的資源，建議您在增強型監控角色的信任政策中使用 aws:SourceArn和 aws:SourceAccount全域條件內容金鑰。如果您同時使用兩個全域條件內容索引鍵，兩者必須使用相同的帳戶 ID。

防止混淆代理問題的最有效方法是使用包含完整資源ARN的aws:SourceArn全域條件內容索引鍵。對於 Amazon RDS，將 aws:SourceArn設定為 arn:aws:rds:Region:my-account-id:db:dbname。

下列範例展示如何在信任政策中使用 aws:SourceArn 和 aws:SourceAccount 全域條件內容索引鍵，來預防混淆代理人問題。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "monitoring.rds.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringLike": {
          "aws:SourceArn": "arn:aws:rds:Region:my-account-id:db:dbname"
        },
        "StringEquals": {
          "aws:SourceAccount": "my-account-id"
        }
      }
    }
  ]
}