本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 使用增強型監控來監控作業系統指標 使用增強型監控可即時監控資料庫執行個體的作業系統。當您想查看不同的程序或執行緒如何使用 CPU 時，增強型監控指標很有用。 **Topics** + [ ## 增強型監視概觀 ](#USER_Monitoring.OS.overview) + [ # 設定並啟用增強型監控 ](USER_Monitoring.OS.Enabling.md) + [ # 在 RDS 主控台中檢視作業系統指標 ](USER_Monitoring.OS.Viewing.md) + [ # 使用 CloudWatch Logs 檢視作業系統指標 ](USER_Monitoring.OS.CloudWatchLogs.md) ## 增強型監視概觀 Amazon RDS 針對資料庫執行個體執行所在的作業系統 (OS) 即時提供指標。您可以在主控台上檢視 RDS 資料庫執行個體的所有系統指標和處理程序資訊。您可以管理要為每個執行個體監控的指標，並根據需求自訂儀表板。如需增強型監控指標的說明，請參閱 [增強型監控中的作業系統指標](USER_Monitoring-Available-OS-Metrics.md)。 RDS 可將增強型監控的指標提供到您的 Amazon CloudWatch Logs 帳戶中。您可以從 CloudWatch Logs，在 CloudWatch 中建立指標篩選條件，並在 CloudWatch Logs 儀表板上顯示圖表。您可以在您所選的監控系統中，使用來自 CloudWatch Logs 的增強型監控 JSON 輸出。如需詳細資訊，請參閱「Amazon RDS 常見問答集」中的[增強型監控](https://aws.amazon.com/rds/faqs/#Enhanced_Monitoring)。 **Topics** + [ ### 增強型監控可用性 ](#USER_Monitoring.OS.Availability) + [ ### CloudWatch 與增強型監控指標之間的差異 ](#USER_Monitoring.OS.CloudWatchComparison) + [ ### 保留增強型監控指標 ](#USER_Monitoring.OS.retention) + [ ### 增強型監控的成本 ](#USER_Monitoring.OS.cost) ### 增強型監控可用性 Enhanced Monitoring 可用於下列資料庫引擎： + Db2 + MariaDB + Microsoft SQL Server + MySQL + Oracle + PostgreSQL ### CloudWatch 與增強型監控指標之間的差異 *hypervisor* 會建立並執行虛擬機器 (VM)。執行個體可使用 hypervisor，透過虛擬化共用記憶體和 CPU 來支援多個訪客虛擬機器。CloudWatch 會從資料庫執行個體的 hypervisor 收集有關 CPU 使用率指標。相反地，增強型監控會從資料庫執行個體上的代理程式中收集其指標。 您可能會發現 CloudWatch 與增強型監控測量之間的差異，因為 Hypervisor 層會執行少量工作。如果您的資料庫執行個體使用較小的執行個體類別，差異可能會更大。在此案例中，單一實體執行個體上的 Hypervisor 層可能會管理更多虛擬機器 (VM)。 如需增強型監控指標的說明，請參閱 [增強型監控中的作業系統指標](USER_Monitoring-Available-OS-Metrics.md)。如需有關 Amazon CloudWatch 的詳細資訊，請參閱 *[Amazon CloudWatch 使用者指南](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/working_with_metrics.html)*。 ### 保留增強型監控指標 在預設情況下，增強型監控指標會在 CloudWatch Logs 存放 30 天。此保留期與一般的 CloudWatch 指標不同。 若要修改指標在 CloudWatch Logs 中存放的時間長短，請在 CloudWatch 主控台變更 `RDSOSMetrics` 日誌群組的保留期間。如需詳細資訊，請參閱《Amazon CloudWatch Logs User Guide》**中的[變更 CloudWatch 日誌中的日誌資料保留期間](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Working-with-log-groups-and-streams.html#SettingLogRetention)。 ### 增強型監控的成本 增強型監控指標存放在 CloudWatch Logs 中，而不是在 CloudWatch 指標中。增強型監控的成本取決於下列因素： + 只有在「增強型監控」用量超過 Amazon CloudWatch Logs 提供的資料傳輸和儲存量時，我們才會向您收取費用。費用是根據 CloudWatch Logs 資料傳輸和儲存費率計算。 + 針對 RDS 執行個體傳輸的資訊量與針對「增強型監控」功能定義的精密度成正比。較短的監控時間間隔會導致較頻繁的作業系統指標報告，並增加您的監控成本。若要管理成本，請針對帳戶中的不同執行個體設定不同的精密度。 + 增強型監控的使用成本將套用至已啟用增強型監控的每個資料庫執行個體。監控大量資料庫執行個體的成本比監控少量資料庫執行個體昂貴得多。 + 支援運算更為密集之工作負載的資料庫執行個體，有更多的作業系統處理程序活動可以報告，其增強型監控的成本也比較高。 如需定價的詳細資訊，請參閱 [Amazon CloudWatch 定價](https://aws.amazon.com/cloudwatch/pricing/)。 # 設定並啟用增強型監控 若要使用增強型監控，您必須建立 IAM 角色，然後啟用增強型監控。 **Topics** + [ ## 為增強型監控建立 IAM 角色 ](#USER_Monitoring.OS.Enabling.Prerequisites) + [ ## 開啟和關閉增強型監控 ](#USER_Monitoring.OS.Enabling.Procedure) + [ ## 防範混淆代理人問題 ](#USER_Monitoring.OS.confused-deputy) ## 為增強型監控建立 IAM 角色 增強型監控需要許可才能代表您將作業系統指標資訊傳送至 CloudWatch Logs。您可以使用 AWS Identity and Access Management (IAM) 角色授予增強型監控許可。您可以在啟用增強型監控時建立此角色，也可以事先建立。 **Topics** + [ ### 啟用增強型監控時建立 IAM 角色 ](#USER_Monitoring.OS.Enabling.Prerequisites.creating-role-automatically) + [ ### 在啟用增強型監控之前建立 IAM 角色 ](#USER_Monitoring.OS.Enabling.Prerequisites.creating-role-manually) ### 啟用增強型監控時建立 IAM 角色 當您在 RDS 主控台中啟用增強監控時，Amazon RDS 可以為您建立所需的 IAM 角色。角色已命名 `rds-monitoring-role`。RDS 會將此角色用於指定的資料庫執行個體、僅供讀取複本或多可用區域資料庫叢集。 **啟用增強型監控時建立 IAM 角色** 1. 請遵循 [開啟和關閉增強型監控](#USER_Monitoring.OS.Enabling.Procedure) 中的步驟。 1. 在您選擇角色的步驟中，將 **「Monitoring Role (監控角色)」**設定為**「Default (預設) 」**。 ### 在啟用增強型監控之前建立 IAM 角色 您可以在啟用增強型監控之前建立必要的角色。啟用增強型監控時，請指定新角色的名稱。如果您使用 AWS CLI 或 RDS API 啟用增強型監控，您將必須建立此必要的角色。 必須將 `PassRole` 許可授予會啟用增強型監控的使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[授予使用者將角色傳遞至 AWS 服務之許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_passrole.html)的範例 2。 **為 Amazon RDS 增強型監控建立 IAM 角色** 1. 前往 [https://console.aws.amazon.com](https://console.aws.amazon.com/) 開啟 [IAM 主控台](https://console.aws.amazon.com/iam/home?#home) 1. 在導覽窗格中，選擇 **Roles** (角色)。 1. 選擇 **Create Role** (建立角色)。 1. 選擇 **AWS service** (AWS 服務) 索引標籤，然後從服務清單中選擇 **RDS**。 1. 選擇 **RDS - Enhanced Monitoring** (RDS - 增強型監控)，然後選擇 **Next** (下一步)。 1. 請確定 **Permissions policies** (許可政策) 顯示 **AmazonRDSEnhancedMonitoringRole**，然後選擇 **Next** (下一步)。 1. 針對 **Role name (角色名稱)**，輸入您的角色名稱。例如，​輸入 **emaccess**。 您角色的信任實體是 **monitoring.rds.amazonaws.com** AWS 服務。 1. 選擇建**立角色**。 ## 開啟和關閉增強型監控 您可以使用 AWS 管理主控台 AWS CLI或 RDS API 來管理增強型監控。您可以針對每個資料庫執行個體上的指標收集設定不同的精密度。 ### 主控台 您可以在建立資料庫執行個體、多可用區域資料庫叢集、或僅供讀取複本時，或在您修改資料庫執行個體或多可用區域資料庫叢集時，開啟增強型監控。如果您修改資料庫執行個體以開啟增強型監控，您的資料庫執行個體無需重新啟動，改變即可生效。 您在 **Databases** (資料庫) 頁面上執行以下任一動作時，可在 RDS 主控台中開啟增強型監控： + **建立資料庫執行個體或多可用區域資料庫叢集**：選擇 **Create database** (建立資料庫)。 + **建立僅供讀取複本** – 選擇 **Actions** (動作)，然後選 **Create read replica** (建立僅供讀取複本)。 + **修改資料庫執行個體 或多可用區域資料庫叢集** – 選擇**修改**。 **在 RDS 主控台中開啟或關閉增強型監控** 1. 捲動至 **Additional configuration** (其他組態)。 1. 在**監控**中，為資料庫執行個體或僅供讀取複本選擇**啟用增強型監控**。取消選取選項以。 1. 將 **Monitoring Role (監控角色)** 屬性設定為您所建立的 IAM 角色，以允許 Amazon RDS 代表您與 Amazon CloudWatch Logs 進行通訊。或者，選擇 **Default (預設)**，RDS 即會自動建立名為 `rds-monitoring-role` 的角色。 1. 系統會收集資料庫執行個體、或僅供讀取複本的指標，請將**精細程度**屬性設定為該資料點的時間間隔 (以秒為單位)。**Granularity (精細程度)** 屬性可設定為以下其中一個值：`1`、`5`、`10`、`15`、`30` 或 `60`。 RDS 主控台重新整理的最快時間為每 5 秒一次。如果您在 RDS 主控台中，將精細程度設定為 1 秒，您還是只能每 5 秒鐘才能看到更新後的指標。您可以使用 CloudWatch Logs 來擷取 1 秒指標更新。 ### AWS CLI 若要使用 開啟增強型監控 AWS CLI，請在下列命令中，將 `--monitoring-interval`選項設定為 以外的值，`0`並將 `--monitoring-role-arn`選項設定為您在 中建立的角色[為增強型監控建立 IAM 角色](#USER_Monitoring.OS.Enabling.Prerequisites)。 + [create-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html) + [create-db-instance-read-replica](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance-read-replica.html) + [modify-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html) + [create-db-cluster](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-cluster.html) (多可用區域資料庫叢集) + [modify-db-cluster](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-cluster.html) (多可用區域資料庫叢集) `--monitoring-interval` 為資料庫執行個體收集增強型監控指標點之間的間隔 (秒)。選項的有效值為 `0`、`1`、`5`、`10`、`15`、`30` 和 `60`。 若要使用 關閉增強型監控 AWS CLI，請在這些命令`0`中將 `--monitoring-interval`選項設定為 。 **Example** 下方範例會為資料庫執行個體開啟增強型監控： 對於 Linux、macOS 或 Unix： ``` aws rds modify-db-instance \ --db-instance-identifier mydbinstance \ --monitoring-interval 30 \ --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess ``` 在 Windows 中： ``` aws rds modify-db-instance ^ --db-instance-identifier mydbinstance ^ --monitoring-interval 30 ^ --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess ``` **Example** 下方範例會為多可用區域資料庫叢集開啟增強型監控： 對於 Linux、macOS 或 Unix： ``` aws rds modify-db-cluster \ --db-cluster-identifier mydbcluster \ --monitoring-interval 30 \ --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess ``` 在 Windows 中： ``` aws rds modify-db-cluster ^ --db-cluster-identifier mydbcluster ^ --monitoring-interval 30 ^ --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess ``` ### RDS API 若要使用 RDS API 開啟增強型監控，請將 `MonitoringInterval` 參數設定為 `0` 以外的值，然後將 `MonitoringRoleArn` 參數設定為您在 [為增強型監控建立 IAM 角色](#USER_Monitoring.OS.Enabling.Prerequisites) 中建立的角色。在下列動作中設定這些參數： + [CreateDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstance.html) + [CreateDBInstanceReadReplica](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstanceReadReplica.html) + [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html) + [CreateDBCluster](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBCluster.html) (多可用區域資料庫叢集) + [ModifyDBCluster](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBCluster.html) (多可用區域資料庫叢集) `MonitoringInterval` 參數會指定資料庫執行個體收集增強型監控指標點之間的間隔 (秒)。有效值為：`0`、`1`、`5`、`10`、`15`、`30` 和 `60`。 若要使用 RDS API 關閉增強型監控，請將 `MonitoringInterval` 設定為 `0`。 ## 防範混淆代理人問題 混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。如需詳細資訊，請參閱[混淆代理人問題](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html)。 若要限制 Amazon RDS 可將資源提供給另一項服務的許可，建議針對增強型監控角色，在信任政策中使用 `aws:SourceArn` 和 `aws:SourceAccount` 全域條件內容索引鍵。如果您同時使用兩個全域條件內容索引鍵，兩者必須使用相同的帳戶 ID。 防範混淆代理人問題的最有效方法是使用 `aws:SourceArn` 全域條件內容索引鍵，以及資源的完整 ARN。為 Amazon RDS 將 `aws:SourceArn` 設為 `arn:aws:rds:Region:my-account-id:db:dbname`。 下列範例展示如何在信任政策中使用 `aws:SourceArn` 和 `aws:SourceAccount` 全域條件內容索引鍵，來預防混淆代理人問題。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "monitoring.rds.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringLike": { "aws:SourceArn": "arn:aws:rds:Region:my-123456789012:db:dbname" }, "StringEquals": { "aws:SourceAccount": "my-123456789012" } } } ] } ``` ------ # 在 RDS 主控台中檢視作業系統指標 您可在 RDS 主控台的 **Monitoring (監控)** 選擇 **Enhanced monitoring (增強型監控)**，以檢視增強型監控回報的作業系統指標。 下列範例會顯示「增強型監控」頁面。如需增強型監控指標的說明，請參閱 [增強型監控中的作業系統指標](USER_Monitoring-Available-OS-Metrics.md)。 ![\[儀表板檢視畫面\]](http://docs.aws.amazon.com/zh_tw/AmazonRDS/latest/UserGuide/images/metrics1.png) 部分資料庫執行個體使用一個以上磁碟，作為資料庫執行個體的資料儲存磁碟區。**Physical Devices (實體裝置)** 圖表會針對這類資料庫執行個體，顯示每個磁碟的指標。例如下圖顯示四個磁碟的指標。 ![\[多個磁碟的圖表\]](http://docs.aws.amazon.com/zh_tw/AmazonRDS/latest/UserGuide/images/enhanced-monitoring-multiple-disks.png) **注意** 目前 **Physical Devices (實體裝置)** 圖表不適用於 Microsoft SQL Server 資料庫執行個體。 檢視彙總**的檔案系統**圖表時，**rdsdbdata\$1** 裝置會與`rdsfilesys/rdsdbdata*`檔案系統相關，其中存放所有資料庫檔案和日誌。**rootfilesys** 裝置與`/`檔案系統 （也稱為 root) 相關，其中會存放與作業系統相關的檔案。使用其他儲存磁碟區時，請檢視`rdsdbdata4`磁碟區特定資訊的 `rdsdbdata2`、 `rdsdbdata3`和 磁碟區指標。 檢視彙總**磁碟 I/O** 圖形時，**rdsdbdata** 裝置會與主要`/rdsdbdata`儲存磁碟區相關。使用其他儲存磁碟區時，請檢視`rdsdbdata4`磁碟區特定資訊的 `rdsdbdata2`、 `rdsdbdata3`和 磁碟區指標。檔案系統裝置與 /file 系統 （也稱為 root) 相關，其中會存放與作業系統相關的檔案。 **rdsdev** 裝置名稱已棄用。**rdsdev** 裝置僅與主要`/rdsdbdata`儲存磁碟區相關，不包含來自其他儲存磁碟區的指標。 ![\[圖表顯示檔案系統使用情形\]](http://docs.aws.amazon.com/zh_tw/AmazonRDS/latest/UserGuide/images/enhanced-monitoring-filesystem.png) 如果資料庫執行個體為異地同步備份部署，您可以檢視主要資料庫執行個體的作業系統指標，及其異地同步備份備用複本。在 **Enhanced monitoring (增強型監控)** 檢視畫面中，選擇 **primary (主要)** 可檢視主要資料庫執行個體的作業系統指標，選擇 **secondary (次要)** 可檢視備用複本的作業系統指標。 ![\[增強型監控的主要及次要選擇\]](http://docs.aws.amazon.com/zh_tw/AmazonRDS/latest/UserGuide/images/enhanced-monitoring-primary-secondary.png) 如需異地同步備份部署的詳細資訊，請參閱[設定及管理 Amazon RDS 的多可用區域部署](Concepts.MultiAZ.md)。 **注意** MariaDB 資料庫執行個體目前並不支援檢視多可用區域備用複本的作業系統指標。 如果您要檢視資料庫執行個體上執行的處理程序，則請在 **Monitoring (監控)** 中選擇 **OS process list (作業系統程序清單)**，即可查看詳細資訊。 **Process List (程序清單)** 檢視畫面顯示如下。 ![\[程序清單檢視畫面\]](http://docs.aws.amazon.com/zh_tw/AmazonRDS/latest/UserGuide/images/metrics2.png) 顯示於 **Process list (程序清單)** 檢視畫面中的增強型監控指標整理如下： + **RDS child processes (RDS 子程序)** – 顯示支援資料庫執行個體的 RDS 程序摘要，例如 ，以及 MySQL 資料庫執行個體的 `mysqld`。程序執行緒以巢狀顯示在父程序之下。程序執行緒僅顯示 CPU 使用率，因為其他指標與該程序的所有執行緒相同。主控台最多顯示 100 個程序與執行緒。其結果為消耗最多 CPU 與記憶體的程序與執行緒的組合。如果有 50 個以上的程序及 50 個以上的執行緒，主控台將顯示各類別中消耗量最高的 50 個程序與執行緒。此顯示有助於您識別哪些程序對於效能的影響最大。 + **RDS 程序** – 顯示 RDS 管理代理程式所使用的資源摘要、診斷監控程序，以及支援 RDS 資料庫執行個體所需的其他 AWS 程序。 + **OS processes (作業系統程序)** – 顯示核心與系統程序的摘要，這些程序對效能的影響通常很小。 各程序所列出的項目為： + **VIRT (VIRT)** – 顯示程序的虛擬記憶體大小。 + **RES (RES)** – 顯示程序實際使用的實體記憶體。 + **CPU%** – 會顯示程序正在使用的 CPU 頻寬總量百分比。 + **MEM%** – 會顯示程序正在使用的記憶體總量百分比。 RDS 主控台顯示的監控資料擷取自 Amazon CloudWatch Logs。您也可以從 CloudWatch Logs 擷取資料庫執行個體的指標做為日誌串流。如需更多詳細資訊，請參閱 [使用 CloudWatch Logs 檢視作業系統指標](USER_Monitoring.OS.CloudWatchLogs.md)。 在以下期間不會傳回增強型監控指標： + 資料庫執行個體的容錯移轉。 + 變更資料庫執行個體的執行個體類別 (擴充運算)。 在資料庫執行個體重新開機過程中會傳回增強型監控指標，因為只有資料庫引擎會重新開機。作業系統指標仍會繼續回報。 # 使用 CloudWatch Logs 檢視作業系統指標 在您為資料庫執行個體或多可用區域資料庫叢集啟用增強型監控之後，即可使用 CloudWatch Logs 與代表受監控之單一資料庫執行個體或資料庫叢集的日誌串流來檢視資料庫執行個體。日誌串流識別符為該資料庫執行個體或資料庫叢集的資源識別符 (`DbiResourceId`)。 **檢視增強型監控日誌資料** 1. 透過 [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/) 開啟 CloudWatch 主控台。 1. 如有必要，請選擇您資料庫執行個體或多可用區域資料庫叢集所在的 AWS 區域。如需詳細資訊，請參閱《Amazon Web Services 一般參考》**中的[區域和端點](https://docs.aws.amazon.com/general/latest/gr/index.html?rande.html)。 1. 在導覽窗格中，選擇 **Logs (日誌)**。 1. 在日誌群組清單中，選擇 **RDSOSMetrics**。 在多可用區域資料庫執行個體部署中，名稱中附加 `-secondary` 的日誌檔案用於多可用區域備用複本。 ![\[多可用區域待命複本日誌檔案\]](http://docs.aws.amazon.com/zh_tw/AmazonRDS/latest/UserGuide/images/enhanced-monitoring-cloudwatch-secondary.png) 1. 在日誌串流清單中，選擇您要檢視的日誌串流。