AWS云环境设置、成本管理与部署框架全解析

### AWS 云环境设置、成本管理与部署框架全解析 #### 1. 云环境设置基础概念 在 AWS 云环境中，有两个重要的概念：委托（Delegation）和联合（Federation）。委托是指将访问特定资源的权限授予第三方，这需要在拥有资源的信任账户和包含需要访问资源的用户或应用程序的受信账户之间建立信任关系。例如，为名为 CloudCheckr 的服务建立信任关系的角色，该角色允许 CloudCheckr 访问 AWS 账户以进行成本分析并提出改进建议。 联合则是在外部身份提供者（如 Facebook、Google 或支持 Security Assertion Markup Language (SAML) 2.0 的企业身份系统）与 AWS 之间创建信任关系的过程。它使用户能够通过这些外部身份提供者登录，并使用临时凭证承担 IAM 角色。 #### 2. AWS 资源与权限 AWS 中的权限分为基于身份的权限和基于资源的权限。基于身份的权限指定 IAM 用户或角色可以执行的操作，而基于资源的权限指定 AWS 资源（如 S3 存储桶或 SNS 主题）被允许执行的操作或谁可以访问它。基于资源的策略通常指定谁可以访问给定资源，这允许受信任的用户在不承担角色的情况下访问资源。不过，并非所有 AWS 服务都支持基于资源的策略。 #### 3. 权限与策略 当创建新的 IAM 用户、组或角色时，它们默认没有任何访问权限，需要通过创建策略来授予权限。策略的范围可以不同，最好采用最小权限原则，即只授予完成工作所需的权限。 策略分为托管策略和内联策略： - **托管策略**：适用于用户、组和角色，但不适用于资源。一些托管策略由 AWS 创建和维护，用户也可以创建和维护自定义托管策略。托管策略便于重用和变更管理，修改策略时，所有关联的 IAM 用户、角色和组都会自动应用更改，还支持版本控制和回滚。 - **内联策略**：直接创建并附加到特定的用户、组或角色，当实体被删除时，其内联策略也会被删除。基于资源的策略始终是内联的。 策略使用 JSON 符号指定，以下是一个托管的 AWSLambdaExecute 策略示例： ```json { "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action": "logs:*", "Resource":"arn:aws:logs:*:*:*" }, { "Effect":"Allow", "Action":[ "s3:GetObject", "s3:PutObject" ], "Resource":"arn:aws:s3:::*" } ] } ``` 许多 IAM 策略还包含其他元素，如 Principal、Sid 和 Condition。Principal 元素指定允许或拒绝访问资源的 IAM 用户、账户或服务；Statement ID (Sid) 在某些 AWS 服务（如 SNS）的策略中是必需的；Condition 允许指定策略应用的规则。例如： ```json "Condition": { "DateLessThan": { "aws:CurrentTime": "2020-09-12T12:00:00Z" }, "IpAddress": { "aws:SourceIp": "127.0.0.1" } } ``` #### 4. 成本管理 在 AWS 中，成本管理至关重要，避免月底收到高额账单的意外。可以使用 Amazon CloudWatch 创建计费警报，当每月总费用超过预定义阈值时发送通知。这不仅有助于避免意外高额账单，还能发现系统的潜在配置错误。 ##### 4.1 创建计费警报步骤 1. 在主 AWS 控制台中，点击您的姓名（或代表您的 IAM 用户的姓名），然后点击“我的计费仪表板”。 2. 在导航窗格中点击“计费偏好设置”，然后启用“接收计费警报”旁边的复选框。 3. 点击“保存偏好设置”，然后返回主 AWS 控制台并找到 CloudWatch 服务。 4. 打开 CloudWatch 服务，点击“警报”，并在导航窗格中选择“所有警报”。点击“创建警报”按钮，然后点击“选择指标”按钮。 5. 在“指标”标题下，选择“计费”并点击“总估计费用”。如果看不到“计费”，可能是您在步骤 2 中未启用“接收计费警报”选项。 6. 勾选“估计费用”的复选框，然后点击“选择指标”继续。 7. 确保“阈值类型”设置为“静态”，并且“每当估计费用”设置为“大于”。 8. 在“定义阈值值”中，输入您希望触发警报的金额（例如 200）。 9. 点击“下一步”继续到下一页，在这里可以设置或创建新的 SNS 主题，以便在警报触发时通知您。 10. 点击“添加通知”按钮。 11. 选择“创建新主题”，输入主题名称，然后输入您的电子邮件地址。点击“创建主题”按钮保存 SNS 主题设置，准备好后点击“下一步”。 12. 输入警报名称，然后再次点击“下一步”。 13. 最后，在底部点击“创建警报”按钮完成设置。 #####