Menyiapkan dan mengaktifkan Pemantauan yang Ditingkatkan

Untuk menggunakan Enhanced Monitoring, Anda harus membuat IAM peran, dan kemudian mengaktifkan Enhanced Monitoring.

Membuat IAM peran untuk Enhanced Monitoring

Pemantauan yang Ditingkatkan memerlukan izin untuk bertindak atas nama Anda untuk mengirim informasi metrik OS ke CloudWatch Log. Anda memberikan izin Pemantauan yang Ditingkatkan menggunakan peran AWS Identity and Access Management (IAM). Anda dapat membuat peran ini saat mengaktifkan Pemantauan yang Ditingkatkan atau membuatnya terlebih dahulu.

Topik

• Membuat IAM peran saat Anda mengaktifkan Enhanced Monitoring
• Membuat IAM peran sebelum Anda mengaktifkan Enhanced Monitoring

Membuat IAM peran saat Anda mengaktifkan Enhanced Monitoring

Saat Anda mengaktifkan Enhanced Monitoring di RDS konsol, Amazon RDS dapat membuat IAM peran yang diperlukan untuk Anda. Peran ini bernama rds-monitoring-role. RDSmenggunakan peran ini untuk instans DB tertentu, replika baca, atau cluster DB multi-AZ.

Untuk membuat IAM peran saat mengaktifkan Enhanced Monitoring

1. Ikuti langkah-langkah di Mengaktifkan dan menonaktifkan Pemantauan yang Ditingkatkan.

2. Atur Peran Pemantauan ke Default pada langkah tempat Anda memilih peran.

Membuat IAM peran sebelum Anda mengaktifkan Enhanced Monitoring

Anda dapat membuat peran yang diperlukan sebelum mengaktifkan Pemantauan yang Ditingkatkan. Jika Anda mengaktifkan Pemantauan yang Ditingkatkan, tentukan nama peran baru Anda. Anda harus membuat peran yang diperlukan ini jika Anda mengaktifkan Enhanced Monitoring menggunakan AWS CLI atau RDSAPI.

Pengguna yang mengaktifkan Pemantauan yang Ditingkatkan harus diberi izin PassRole. Untuk informasi selengkapnya, lihat Contoh 2 di Memberikan izin pengguna untuk meneruskan peran ke AWS layanan di IAMPanduan Pengguna.

Untuk membuat IAM peran bagi pemantauan Amazon yang RDS disempurnakan

1. Buka IAMkonsol di https://console.aws.amazon.com.

2. Di panel navigasi, pilih Peran.

3. Pilih Buat peran.

4. Pilih tab AWS layanan, lalu pilih RDSdari daftar layanan.

5. Pilih RDS- Pemantauan yang Ditingkatkan, lalu pilih Berikutnya.

6. Pastikan kebijakan Izin menampilkan A mazonRDSEnhanced MonitoringRole, lalu pilih Berikutnya.

7. Untuk Nama peran, masukkan nama peran Anda. Misalnya, masukkan emaccess.

   Entitas tepercaya untuk peran Anda adalah AWS layanan monitoring.rds.amazonaws.com.

8. Pilih Buat peran.

Mengaktifkan dan menonaktifkan Pemantauan yang Ditingkatkan

Anda dapat mengaktifkan dan menonaktifkan Pemantauan yang Ditingkatkan menggunakan AWS Management Console, AWS CLI, atau RDSAPI. Anda memilih instans RDS DB yang ingin Anda aktifkan Enhanced Monitoring. Anda dapat mengatur granularitas yang berbeda untuk pengumpulan metrik pada setiap instans DB.

Konsol

Anda dapat mengaktifkan Pemantauan yang Ditingkatkan saat membuat instans DB, klaster DB Multi-AZ, atau replika baca, atau saat Anda memodifikasi instans DB atau klaster DB Multi-AZ. Jika Anda memodifikasi instans DB untuk mengaktifkan Pemantauan yang Ditingkatkan, Anda tidak perlu mem-boot ulang instans DB Anda agar perubahan diterapkan.

Anda dapat mengaktifkan Enhanced Monitoring di RDS konsol saat Anda melakukan salah satu tindakan berikut di halaman Database:

• Buat instans DB atau klaster DB Multi-AZ – Pilih Buat basis data.

• Buat replika baca – Pilih Tindakan, lalu Buat replika baca.

• Modifikasi instans DB atau klaster DB Multi-AZ – Pilih Ubah.

Untuk mengaktifkan atau menonaktifkan Pemantauan yang Ditingkatkan di RDS konsol

1. Gulir ke bagian Konfigurasi tambahan.

2. Di Pemantauan, pilih Aktifkan Pemantauan yang Ditingkatkan untuk instans DB atau replika baca. Untuk menonaktifkan Pemantauan yang Ditingkatkan, pilih Nonaktifkan Pemantauan yang Ditingkatkan.

3. Setel properti Peran Pemantauan ke IAM peran yang Anda buat untuk mengizinkan Amazon RDS berkomunikasi dengan CloudWatch Log Amazon untuk Anda, atau pilih Default untuk RDS membuat peran untuk Anda namairds-monitoring-role.

4. Atur properti Granularitas ke interval tersebut, dalam detik, antara titik-titik saat metrik dikumpulkan untuk instans DB atau replika baca. Properti Granularitas dapat diatur ke salah satu nilai berikut: 1, 5, 10, 15, 30, atau 60.

   Yang tercepat yang disegarkan RDS konsol adalah setiap 5 detik. Jika Anda mengatur granularitas ke 1 detik di RDS konsol, Anda masih melihat metrik yang diperbarui hanya setiap 5 detik. Anda dapat mengambil pembaruan metrik 1 detik dengan menggunakan CloudWatch Log.

AWS CLI

Untuk mengaktifkan Enhanced Monitoring menggunakan AWS CLI, dalam perintah berikut, atur --monitoring-interval opsi ke nilai selain 0 dan atur --monitoring-role-arn opsi ke peran yang Anda buatMembuat IAM peran untuk Enhanced Monitoring.

• create-db-instance

• create-db-instance-read-replika

• modify-db-instance

• create-db-cluster(Kluster DB multi-AZ)

• modify-db-cluster(Kluster DB multi-AZ)

Opsi --monitoring-interval menentukan interval, dalam detik, antara titik-titik saat metrik Pemantauan yang Ditingkatkan dikumpulkan. Nilai yang valid untuk opsi ini adalah 0, 1, 5, 10, 15, 30, dan 60.

Untuk mematikan Enhanced Monitoring menggunakan AWS CLI, atur --monitoring-interval opsi ke 0 dalam perintah ini.

contoh

Contoh berikut mengaktifkan Pemantauan yang Ditingkatkan untuk instans DB:

Untuk Linux, macOS, atau Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

Untuk Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

contoh

Contoh berikut mengaktifkan Pemantauan yang Ditingkatkan untuk klaster DB Multi-AZ:

Untuk Linux, macOS, atau Unix:

aws rds modify-db-cluster \
    --db-cluster-identifier mydbcluster \
    --monitoring-interval 30 \
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

Untuk Windows:

aws rds modify-db-cluster ^
    --db-cluster-identifier mydbcluster ^
    --monitoring-interval 30 ^
    --monitoring-role-arn arn:aws:iam::123456789012:role/emaccess

RDS API

Untuk mengaktifkan Enhanced Monitoring menggunakan RDSAPI, atur MonitoringInterval parameter ke nilai selain 0 dan atur MonitoringRoleArn parameter ke peran yang Anda buatMembuat IAM peran untuk Enhanced Monitoring. Tetapkan parameter ini dalam tindakan berikut:

• C reateDBInstance

• C reateDBInstance ReadReplica

• M odifyDBInstance

• C reateDBCluster (kluster DB multi-AZ)

• M odifyDBCluster (kluster DB multi-AZ)

Parameter MonitoringInterval menentukan interval, dalam detik, antara titik-titik saat metrik Pemantauan yang Ditingkatkan dikumpulkan. Nilai yang valid adalah 0, 1, 5, 10, 15, 30, dan 60.

Untuk mematikan Enhanced Monitoring menggunakan RDSAPI, atur MonitoringInterval ke0.

Melindungi dari masalah confused deputy

Masalah deputi yang bingung adalah masalah keamanan di mana entitas yang tidak memiliki izin untuk melakukan tindakan dapat memaksa entitas yang lebih istimewa untuk melakukan tindakan. Pada tahun AWS, peniruan lintas layanan dapat mengakibatkan masalah wakil yang membingungkan. Peniruan identitas lintas layanan dapat terjadi ketika satu layanan (layanan yang dipanggil) memanggil layanan lain (layanan yang dipanggil). Layanan pemanggilan dapat dimanipulasi menggunakan izinnya untuk bertindak pada sumber daya pelanggan lain dengan cara yang seharusnya tidak dilakukannya kecuali bila memiliki izin untuk mengakses. Untuk mencegah hal ini, AWS menyediakan alat yang membantu Anda melindungi data untuk semua layanan dengan pengguna utama layanan yang telah diberi akses ke sumber daya di akun Anda. Untuk informasi selengkapnya, lihat Masalah confused deputy.

Untuk membatasi izin ke sumber daya yang RDS dapat diberikan Amazon kepada layanan lain, sebaiknya gunakan kunci konteks kondisi aws:SourceAccount global aws:SourceArn dan global dalam kebijakan kepercayaan untuk peran Pemantauan yang Ditingkatkan. Jika Anda menggunakan kedua kunci konteks kondisi global, keduanya harus menggunakan ID akun yang sama.

Cara paling efektif untuk melindungi dari masalah wakil yang membingungkan adalah dengan menggunakan kunci konteks kondisi aws:SourceArn global dengan penuh ARN sumber daya. Untuk AmazonRDS, atur aws:SourceArn kearn:aws:rds:Region:my-account-id:db:dbname.

Contoh berikut menggunakan kunci konteks kondisi global aws:SourceArn dan aws:SourceAccount dalam kebijakan kepercayaan untuk mencegah masalah deputi yang bingung.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "monitoring.rds.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringLike": {
          "aws:SourceArn": "arn:aws:rds:Region:my-account-id:db:dbname"
        },
        "StringEquals": {
          "aws:SourceAccount": "my-account-id"
        }
      }
    }
  ]
}