使用 Config 和 AWS Systems Manager 刪除未使用的 Amazon Elastic Block Store AWS （Amazon EBS） 磁碟區 - AWS 方案指引
Summary先決條件和限制架構工具史詩故障診斷相關資源

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Config 和 AWS Systems Manager 刪除未使用的 Amazon Elastic Block Store AWS （Amazon EBS） 磁碟區

由 Sankar Sangubotla 建立 （AWS）

環境：PoC 或試行

技術：安全、身分、合規；管理與治理；成本管理

AWS 服務：AWSConfig；AWSSystems Manager

Summary

Amazon Elastic Block Store （Amazon EBS） 磁碟區的生命週期通常與其連接的 Amazon Elastic Compute Cloud （Amazon EC2） 執行個體的生命週期無關。除非您在啟動時選取終止時刪除選項，否則終止EC2執行個體會分離EBS磁碟區，但不會將其刪除。特別是在通常啟動和終止EC2執行個體的開發和測試環境中，這可能會導致大量未充分利用的EBS磁碟區。EBS 磁碟區會在您的 Amazon Web Services （AWS） 帳戶中產生費用，無論是否使用它們。刪除這些磁碟區可協助您最佳化AWS帳戶的成本。此外，刪除未使用的EBS磁碟區是防止存取這些磁碟區中任何未使用、可能敏感的資料的安全最佳實務。

AWS Config 可協助您手動或自動修復不合規的資源。此模式說明如何設定 Config AWS 規則和自動修復動作，以刪除帳戶中未使用的 Amazon EBS磁碟區。修復動作是預先定義的自動化 Runbook，AWSSystems Manager 的功能。您可以設定 Runbook，在刪除磁碟區之前建立磁碟區的快照。

先決條件和限制

先決條件

  • 作用中的 AWS 帳戶。

  • AWS Systems AWS Manager 的 Identity and Access Management （IAM） 執行 AWSConfigRemediation-DeleteUnusedEBSVolume Runbook for Automation 的許可。如需詳細資訊，請參閱 AWSConfigRemediation-DeleteUnusedEBSVolume 中的必要IAM許可。

  • 一或多個未使用的 Amazon EBS磁碟區。

限制

  • 未使用的 Amazon EBS磁碟區必須處於 available 狀態。

架構

技術堆疊

  • AWS 組態

  • Amazon EBS

  • Systems Manager

  • Systems Manager Automation

目標架構

AWS Config 會啟動 Systems Manager 自動化，刪除未使用的EBS磁碟區。

  1. Config AWS 規則會評估磁碟EBS區。

  2. 規則會傳回合規和不合規資源的清單。EBS 處於 available 狀態的磁碟區，即未使用的磁碟區，會判定為不合規。

  3. AWS Config 會自動啟動 Automation Runbook。

  4. 如果已設定，Systems Manager 會在刪除未使用的磁碟區之前建立快照。

  5. Systems Manager 會刪除未使用的EBS磁碟區。

自動化和擴展

您可以將此解決方案套用至組織中的所有帳戶。如需詳細資訊，請參閱 AWSConfig 文件中的管理組織中所有帳戶的規則。

工具

  • AWS Config 提供AWS帳戶中資源的詳細檢視，以及其設定方式。它可協助您識別資源彼此之間的關係，以及其組態如何隨著時間而改變。

  • AWS Systems Manager 可協助您管理在 AWS Cloud 中執行的應用程式和基礎設施。它可簡化應用程式和資源管理、縮短偵測和解決操作問題的時間，並協助您大規模安全地管理AWS資源。

  • AWS Systems Manager Automation 可簡化許多 AWS服務的常見維護、部署和修復任務。

史詩

任務描述所需的技能

建立 Automation Runbook 的角色。

建立名為 的角色AssumeRole。Systems Manager Automation 使用此角色來執行 Runbook。如需指示，請參閱 Systems Manager 文件中的設定自動化的服務角色 （假設角色） 存取權。

AWS 系統管理員

開啟 Config AWS 記錄器。

請遵循 AWS Config 文件中的使用主控台設定AWS組態中的指示，以確保AWS組態正在執行，且已設定為記錄 Amazon EBS磁碟區。

AWS 系統管理員

執行規則。

  1. 請遵循 AWS Config 文件中的評估資源的指示來執行ec2-volume-inuse-check規則。等待評估完成。

  2. 在規則頁面上，選取ec2-volume-inuse-check規則，然後在範圍內的資源中選擇不合規 。

  3. 確認評估結果中有一或多個未使用的 Amazon EBS磁碟區。

AWS 系統管理員
任務描述所需的技能

新增自動修復動作。

  1. 在規則頁面上，選取ec2-volume-inuse-check規則。

  2. 請遵循 AWS Config 文件中的設定自動修復中的指示。注意下列事項：

  3. 在修復動作詳細資訊區段中，選擇 AWSConfigRemediation-DeleteUnusedEBSVolume。

    • 選取資源 ID 參數 ，然後在清單中，選擇 VolumeId。在執行階段，此參數會取代為不合規EBS磁碟區的 ID。

    • 在參數區段中，提供下列參數的值：

      • CreateSnapshot – （選用） 如果設定為 true，自動化會在刪除EBS磁碟區之前建立磁碟區的快照。

      • AutomationAssumeRole – 輸入您先前建立之AssumeRole服務角色的 Amazon Resource Name （ARN）。

AWS 系統管理員

測試 Config AWS 規則的自動修復。

  1. 在AWS組態主控台的規則頁面上，選取ec2-volume-inuse-check規則。

  2. 在動作 功能表中，選擇重新評估 。

  3. 允許規則評估不合規的資源，然後確認已刪除未使用的 Amazon EBS磁碟區。

AWS 系統管理員

故障診斷

問題解決方案

AWS 組態未準確反映資源狀態。

有時，Config AWS 不會更新資源的狀態。關閉錄音程式，然後在 Config Settings AWS 頁面上重新開啟。記錄器會擷取資源的狀態。對於新建立或刪除的資源，記錄器可能需要一些時間才能反映目前狀態。如需EBS磁碟區狀態的詳細資訊，請參閱 Amazon EC2 文件中的磁碟區狀態。

相關資源