Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Associa automaticamente una policy gestita da AWS per Systems Manager ai profili di istanza EC2 utilizzando Cloud Custodian e AWS CDK
Creato da Ali Asfour (AWS) e Aaron Lennon (AWS)
Ambiente: PoC o pilota | Tecnologie: DevOps; Sviluppo e test del software; Gestione e governance; Sicurezza, identità, conformità; Infrastruttura | Carico di lavoro: open source |
Servizi AWS: Amazon SNS; Amazon SQS; AWS; AWS; CodeBuild CodePipeline AWS Systems Manager; AWS CodeCommit |
Riepilogo
Puoi integrare le istanze Amazon Elastic Compute Cloud (Amazon EC2) con AWS Systems Manager per automatizzare le attività operative e fornire maggiore visibilità e controllo. Per integrarsi con Systems Manager, le istanze EC2 devono avere una policy AWS Systems Manager Agent (SSM Agent) installata e una policy AmazonSSMManagedInstanceCore
AWS Identity and Access Management (IAM) allegata ai rispettivi profili di istanza.
Tuttavia, se vuoi assicurarti che tutti i profili di istanza EC2 abbiano la AmazonSSMManagedInstanceCore
policy allegata, puoi affrontare difficoltà nell'aggiornamento di nuove istanze EC2 che non dispongono di profili di istanza o istanze EC2 che hanno un profilo di istanza ma non dispongono della policy. AmazonSSMManagedInstanceCore
Inoltre, può essere difficile aggiungere questa policy su più account Amazon Web Services (AWS) e regioni AWS.
Questo modello aiuta a risolvere queste sfide implementando tre policy Cloud Custodian
La prima policy di Cloud Custodian verifica le istanze EC2 esistenti che hanno un profilo di istanza ma non dispongono della policy.
AmazonSSMManagedInstanceCore
LaAmazonSSMManagedInstanceCore
policy viene quindi allegata.La seconda policy di Cloud Custodian verifica le istanze EC2 esistenti senza un profilo di istanza e aggiunge un profilo di istanza predefinito a cui è associata la policy.
AmazonSSMManagedInstanceCore
La terza policy Cloud Custodian crea funzioni AWS Lambda
nei tuoi account per monitorare la creazione di istanze EC2 e profili di istanze. Ciò garantisce che la AmazonSSMManagedInstanceCore
policy venga allegata automaticamente quando viene creata un'istanza EC2.
Questo modello utilizza DevOps gli strumenti AWS
Prerequisiti e limitazioni
Prerequisiti
Due o più account AWS attivi. Un account è l'account di sicurezza e gli altri sono account membri.
Autorizzazioni per il provisioning di risorse AWS nell'account di sicurezza. Questo modello utilizza le autorizzazioni di amministratore, ma è necessario concedere le autorizzazioni in base ai requisiti e alle politiche dell'organizzazione.
Capacità di assumere un ruolo IAM dall'account di sicurezza agli account dei membri e creare i ruoli IAM richiesti. Per ulteriori informazioni su questo argomento, consulta Delegare l'accesso tra account AWS utilizzando i ruoli IAM nella documentazione IAM.
AWS Command Line Interface (AWS CLI), installata e configurata. A scopo di test, puoi configurare AWS CLI utilizzando il
aws configure
comando o impostando le variabili di ambiente. Importante: questa opzione non è consigliata per gli ambienti di produzione e consigliamo di concedere a questo account solo l'accesso con il minimo privilegio. Per ulteriori informazioni su questo argomento, consulta Garantire il privilegio minimo nella documentazione IAM.Il
devops-cdk-cloudcustodian.zip
file (allegato), scaricato sul computer locale.Familiarità con Python.
Gli strumenti richiesti (Node.js, AWS Cloud Development Kit (AWS CDK) e Git), installati e configurati. Puoi utilizzare il
install-prerequisites.sh
file contenuto neldevops-cdk-cloudcustodian.zip
file per installare questi strumenti. Assicurati di eseguire questo file con i privilegi di root.
Limitazioni
Sebbene questo modello possa essere utilizzato in un ambiente di produzione, assicurati che tutti i ruoli e le policy IAM soddisfino i requisiti e le policy della tua organizzazione.
Versioni del pacchetto
Cloud Custodian versione 0.9 o successiva
TypeScript versione 3.9.7 o successiva
Node.js versione 14.15.4 o successiva
npm
versione 7.6.1 o successivaAWS CDK versione 1.96.0 o successiva
Architettura
![](images/pattern-img/169a7bde-789e-4ebd-b4ca-80eb28ac9927/images/8ec0b6b4-d4b0-42e5-833d-24d1e6098fd9.png)
Il diagramma mostra il flusso di lavoro seguente:
Le policy di Cloud Custodian vengono trasferite in un CodeCommit repository AWS nell'account di sicurezza. Una regola Amazon CloudWatch Events avvia automaticamente la CodePipeline pipeline AWS.
La pipeline recupera il codice più recente CodeCommit e lo invia alla parte di integrazione continua della pipeline di integrazione continua e distribuzione continua (CI/CD) gestita da AWS. CodeBuild
CodeBuild esegue le DevSecOps azioni complete, inclusa la convalida della sintassi delle policy sulle policy di Cloud Custodian, ed esegue queste policy in modalità per verificare quali risorse vengono identificate.
--dryrun
Se non ci sono errori, l'attività successiva avvisa un amministratore di rivedere le modifiche e approvare la distribuzione negli account dei membri.
Stack tecnologico
AWS CDK
CodeBuild
CodeCommit
CodePipeline
IAM
Cloud Custodian
Automazione e scalabilità
Il modulo AWS CDK pipelines fornisce una pipeline CI/CD che viene utilizzata CodePipeline per orchestrare la creazione e il test del codice sorgente CodeBuild, oltre alla distribuzione delle risorse AWS con gli stack AWS. CloudFormation Puoi utilizzare questo modello per tutti gli account membri e le regioni della tua organizzazione. Puoi anche estendere lo Roles creation
stack per distribuire altri ruoli IAM nei tuoi account membro.
Strumenti
AWS Cloud Development Kit (AWS CDK) è un framework di sviluppo software per definire l'infrastruttura cloud nel codice e fornirla tramite AWS. CloudFormation
AWS Command Line Interface (AWS CLI) è uno strumento open source che consente di interagire con i servizi AWS utilizzando i comandi nella shell della riga di comando.
AWS CodeBuild è un servizio di build completamente gestito nel cloud.
AWS CodeCommit è un servizio di controllo delle versioni che puoi utilizzare per archiviare e gestire risorse in modo privato.
AWS CodePipeline è un servizio di distribuzione continua che puoi utilizzare per modellare, visualizzare e automatizzare i passaggi necessari per rilasciare il tuo software.
AWS Identity and Access Management è un servizio Web che ti aiuta a controllare in modo sicuro l'accesso alle risorse AWS.
Cloud Custodian
è uno strumento che riunisce le dozzine di strumenti e script utilizzati dalla maggior parte delle organizzazioni per gestire i propri account cloud pubblici in un unico strumento open source. Node.js
è un JavaScript runtime basato sul motore V8 di Google Chrome. JavaScript
Codice
Per un elenco dettagliato dei moduli, delle funzioni dell'account, dei file e dei comandi di distribuzione utilizzati in questo modello, consultate il README
file nel devops-cdk-cloudcustodian.zip
file (allegato).
Epiche
Attività | Descrizione | Competenze richieste |
---|---|---|
Configura il CodeCommit repository. |
Per ulteriori informazioni su questo argomento, consulta Creazione di un CodeCommit repository nella CodeCommit documentazione AWS. | Developer |
Installa gli strumenti richiesti. | Usa il Per ulteriori informazioni su questo argomento, consulta la sezione Prerequisiti di Getting started with the AWS CDK nella documentazione di AWS CDK. | Developer |
Installa i pacchetti AWS CDK richiesti. |
I seguenti pacchetti sono richiesti da AWS CDK e sono inclusi nel
| Developer |
Attività | Descrizione | Competenze richieste |
---|---|---|
Aggiorna le variabili richieste. | Apri il
| Developer |
Aggiorna il file account.yml con le informazioni sull'account del membro. | Per eseguire lo strumento c7n-org Cloud Custodian
| Developer |
Attività | Descrizione | Competenze richieste |
---|---|---|
Potenzia l'account di sicurezza. | Avvia il programma
| Developer |
Opzione 1 - Avvia automaticamente gli account dei membri. | Se la Se necessario, puoi eseguire l'aggiornamento I nuovi account aggiunti alla | Developer |
Opzione 2: avvia manualmente gli account dei membri. | Sebbene non sia consigliabile utilizzare questo approccio, puoi impostare il valore di
Importante: assicurati di aggiornare i Puoi anche utilizzare altri approcci per avviare gli account dei membri, ad esempio con AWS CloudFormation. Per ulteriori informazioni a riguardo, consulta Bootstrapping nella documentazione di AWS CDK. | Developer |
Attività | Descrizione | Competenze richieste |
---|---|---|
Crea i ruoli IAM negli account dei membri. | Esegui il comando seguente per distribuire lo
| Developer |
Implementa lo stack di pipeline Cloud Custodian. | Esegui il comando seguente per creare la
| Developer |