在沒有加密的情況下監控 Amazon Aurora 的執行個體

PDF

由 Mansi Suratwala (AWS) 建立

Summary

此模式提供 Amazon Web Services (AWS) CloudFormation 範本，您可以在未開啟加密的情況下建立 Amazon Aurora 執行個體時，部署該範本來設定自動通知。

Aurora 為全受管關聯式資料庫引擎，可與 MySQL 和 PostgreSQL 相容。透過一些工作負載，Aurora 可提供 MySQL 最多五倍的輸送量和 PostgreSQL 最多三倍的輸送量，而不需變更您的多數現有應用程式。

CloudFormation 範本會建立 Amazon CloudWatch Events 事件和 AWS Lambda 函數。事件使用 AWS CloudTrail 來監控任何 Aurora 執行個體的建立或現有執行個體的還原時間點。Cloudwatch Events 事件會啟動 Lambda 函數，檢查是否啟用加密。如果未開啟加密，Lambda 函數會傳送 Amazon Simple Notification Service (Amazon SNS) 通知，通知您違規。 

先決條件和限制

先決條件

• 作用中的 AWS 帳戶

限制

• 此服務控制僅適用於 Amazon Aurora 執行個體。它不支援其他 Amazon Relational Database Service (Amazon RDS) 執行個體。

• CloudFormation 範本只能針對 CreateDBInstance和 RestoreDBClusterToPointInTime 部署。 

產品版本

• Amazon Aurora 支援的 PostgreSQL 版本

• Amazon Aurora 支援的 MySQL 版本

架構

目標技術堆疊

• Amazon Aurora

• AWS CloudTrail

• Amazon CloudWatch

• AWS Lambda

• Amazon Simple Storage Service (Amazon S3)

• Amazon SNS

目標架構

自動化和擴展

您可以針對不同的區域和帳戶多次使用 CloudFormation 範本。您只需要在每個區域或帳戶中執行一次。

工具

工具

• Amazon Aurora – Amazon Aurora 是完全受管的關聯式資料庫引擎，與 MySQL 和 PostgreSQL 相容。

• AWS CloudTrail – AWS CloudTrail 可協助您管理 AWS 帳戶的控管、合規以及操作和風險稽核。使用者、角色或 AWS 服務採取的動作會在 CloudTrail 中記錄為事件。 

• Amazon CloudWatch Events – Amazon CloudWatch Events 提供near-real-time的系統事件串流，描述 AWS 資源的變更。 

• AWS Lambda – AWS Lambda 是一種運算服務，支援執行程式碼，無需佈建或管理伺服器。Lambda 只有在需要時才會執行程式碼，可自動從每天數項請求擴展成每秒數千項請求。 

• Amazon S3 – Amazon Simple Storage Service (Amazon S3) 是一種高度可擴展的物件儲存服務，可用於各種儲存解決方案，包括網站、行動應用程式、備份和資料湖。

• Amazon SNS – Amazon Simple Notification Service (Amazon SNS) 是一種受管服務，使用 Lambda、HTTP、電子郵件、行動推播通知和行動簡訊 (SMS) 提供訊息傳遞。 

Code

專案的 .zip 檔案可作為附件使用。

史詩

建立 Lambda 指令碼的 S3 儲存貯體

任務	描述	所需的技能
定義 S3 儲存貯體。	開啟 Amazon S3 主控台，然後選擇或建立 S3 儲存貯體。此 S3 儲存貯體將託管 Lambda 程式碼 .zip 檔案。您的 S3 儲存貯體必須與 Aurora 位於相同的區域。S3 儲存貯體名稱不能包含正斜線。	雲端架構師

建立 Lambda 指令碼的 S3 儲存貯體

任務	描述	所需的技能
定義 S3 儲存貯體。	開啟 Amazon S3 主控台，然後選擇或建立 S3 儲存貯體。此 S3 儲存貯體將託管 Lambda 程式碼 .zip 檔案。您的 S3 儲存貯體必須與 Aurora 位於相同的區域。S3 儲存貯體名稱不能包含正斜線。	雲端架構師

將 Lambda 程式碼上傳至 S3 儲存貯體

任務	描述	所需的技能
上傳 Lambda 程式碼。	將附件區段中提供的 Lambda 程式碼 .zip 檔案上傳至您定義的 S3 儲存貯體。	雲端架構師

將 Lambda 程式碼上傳至 S3 儲存貯體

任務	描述	所需的技能
上傳 Lambda 程式碼。	將附件區段中提供的 Lambda 程式碼 .zip 檔案上傳至您定義的 S3 儲存貯體。	雲端架構師

部署 CloudFormation 範本

任務	描述	所需的技能
部署 CloudFormation 範本。	在 CloudFormation 主控台上，部署 RDS_Aurora_Encryption_At_Rest.yml CloudFormation 範本，該範本作為此模式的附件提供。在下一個史詩中，提供範本參數的值。	雲端架構師

部署 CloudFormation 範本

任務	描述	所需的技能
部署 CloudFormation 範本。	在 CloudFormation 主控台上，部署 RDS_Aurora_Encryption_At_Rest.yml CloudFormation 範本，該範本作為此模式的附件提供。在下一個史詩中，提供範本參數的值。	雲端架構師

完成 CloudFormation 範本中的參數

任務	描述	所需的技能
提供 S3 儲存貯體名稱。	輸入您在第一個史詩中建立或選擇的 S3 儲存貯體名稱。	雲端架構師
提供 S3 金鑰。	在您的 S3 儲存貯體中提供 Lambda 程式碼 .zip 檔案的位置，而不要使用斜線 （例如 <directory>/<file-name>.zip)。	雲端架構師
提供電子郵件地址。	提供作用中的電子郵件地址以接收 Amazon SNS 通知。	雲端架構師
定義記錄層級。	定義 Lambda 函數的記錄層級和頻率。 會Info指定應用程式進度的詳細資訊訊息。 會Error指定錯誤事件，而 仍會允許應用程式繼續執行。 會Warning指定潛在的有害情況。	雲端架構師

完成 CloudFormation 範本中的參數

任務	描述	所需的技能
提供 S3 儲存貯體名稱。	輸入您在第一個史詩中建立或選擇的 S3 儲存貯體名稱。	雲端架構師
提供 S3 金鑰。	在您的 S3 儲存貯體中提供 Lambda 程式碼 .zip 檔案的位置，而不要使用斜線 （例如 <directory>/<file-name>.zip)。	雲端架構師
提供電子郵件地址。	提供作用中的電子郵件地址以接收 Amazon SNS 通知。	雲端架構師
定義記錄層級。	定義 Lambda 函數的記錄層級和頻率。 會Info指定應用程式進度的詳細資訊訊息。 會Error指定錯誤事件，而 仍會允許應用程式繼續執行。 會Warning指定潛在的有害情況。	雲端架構師

確認訂閱

任務	描述	所需的技能
確認訂閱。	當範本成功部署時，它會傳送訂閱電子郵件訊息到提供的電子郵件地址。若要接收通知，您必須確認此電子郵件訂閱。	雲端架構師

確認訂閱

任務	描述	所需的技能
確認訂閱。	當範本成功部署時，它會傳送訂閱電子郵件訊息到提供的電子郵件地址。若要接收通知，您必須確認此電子郵件訂閱。	雲端架構師

相關資源

• 建立 S3 儲存貯體

• 將檔案上傳至 S3 儲存貯體 

• 建立 Amazon Aurora 資料庫叢集

• 建立使用 AWS CloudTrail 在 AWS API 呼叫上觸發的 CloudWatch Events 規則 CloudTrail

附件

若要存取與本文件相關聯的其他內容，請解壓縮下列檔案： attachment.zip