Неплохой наборчик AWS-безопасностей в докере набыстропопробовать:

https://github.com/z0ph/aws-security-toolbox

Elastic #Beanstalk обзавёлся своим Roadmap:

https://github.com/aws/elastic-beanstalk-roadmap/projects/1

И плагинчик под хром для тех, кто хочет отличать регион, где он работает в консоли, по цвету:

https://chrome.google.com/webstore/detail/aws-console-regions-color/gfeaclafcmbiakopneapkbaiifnhbkng

Приятно вот так вот, вечерком, в выходные, посидеть за чашечкой чая или кофе, почитать что-нибудь, почесывая тисипи об айпи, как где-то у кого-то на амазоне что-то не работает или глючит.

И чтобы завязка была, а потом всё в огне или детектив, и после обязательно, чтобы всех спасли, она согласилась, а саппорт ответил. Ну, а под занавес ба-бах - бестпрактисы из всех щелей и сплошной хэппи энд.

В общем, приятного чтения:

https://m.signalvnoise.com/aws-s3-youre-out-of-order/

⁠Три новых Edge locations для CloudFront открылись недавно поблизости - в Венгрии, Румынии и Болгарии.

Львовщина, Ивано-Франковщина и Одесса радуются - Амазон подобрался совсем близко. Остальные же могут покрутить следующую ссылку, надеясь, что разноцветные отметки переползут когда-то и на их территорию:

https://www.google.com/maps/d/viewer?mid=1cj0vZ2YZJNp39MHIbstZT3QKPkl3Xgw2

#CloudFront

Отличная утилитка под SSM Session Manager для борьбы с ключами SSH на ваших инстансах (чтобы их не использовать):

https://github.com/xen0l/aws-gate

#SSM

Amazon EFS + IAM Authorization + Access Points

EFS серьёзно прокачался:

https://aws.amazon.com/blogs/aws/new-for-amazon-efs-iam-authorization-and-access-points/

Теперь, вслед за S3 Access Points у нас есть EFS Access Points и теперь можно переопределить все операции на своего юзера.

Другая фичиа - IAM Authorization, в том числе Resource-Based политики доступа для EFS, доступ к которому теперь можно рулить через IAM, аналогично с Amazon S3 bucket policies.

Но самое интересное, это что добавление доступа по IAM открывает прямую дорогу к появлению persistent storage для Fargate. Как раз при помощи свежевышедших фич. В общем, выделяем желудочный сок и ждём.

#EFS

Баяны, но свежие и даже местами полезные.

101-й туториал по деплою микросервисов на ECS:

https://levelup.gitconnected.com/a-practical-guide-to-deploying-microservices-on-aws-6a8ddd298f7e

102-е сравнение Лямбды и Fargate:

https://www.trek10.com/blog/fargate-lambda-comparison/

103-я статья по S3 versioning:

https://medium.com/@pvinchon/amazon-s3-versioning-d6c57c513b04

​​И снова полезное чтиво.

Serverless vs Containers:

https://www.cloudjourney.io/articles/publiccloud/cost-matters-the-serverless-edition-ls/

Миграция на Serverless:

https://iamondemand.com/blog/modernizing-a-3-tier-application-with-serverless-on-aws/

Как работает CloudFront:

https://www.contentbloom.com/blog/what-you-need-to-know-about-amazons-cdn/

По поводу обещанного анонса.

29 января у @AWS_ru третий день рождения. По такому прекрасному поводу москвичи и гости столицы могут лично послушать доклады от умных людей и пообщаться с коллегами по цеху. Те, кто не смогут приехать, могут расчитывать на трансляцию. Любители ставить докладчиков в неудобное положение своими каверзными вопросами могут расчитывать на призы. ^^

Регистрация: https://www.meetup.com/aws-ru/events/267985758/

Кто пойдет - обнимите от меня Стекова и Патрушева. 😉
P.S. При регистрации указывайте настоящие ФИО, чтобы безопасники Райфа лишний раз не нервничали.

Какой CI-продукт вы используете для работы с AWS?
Если несколько, то какой наиболее часто.

#опрос

Кто выбирает "Другой", будьте добры, напишите какой другой — либо в чат, либо Facebook. А то неизвестный Другой в тройке лидеров.

Уважаемые коллеги. Кто не знаком, позвольте представить заслуженного мастера спорта международного класса по IAM и другим видам амазоноборства, спикера крупнейших конференций и при этом надёжного информатора о том, что происходит у них там в Европах, Карена Товмасяна.

У Карена есть отличный канал @manandthemachine, где можно прочитать не только про AWS (этого и здесь хватает), но и про тяжёлую судьбушеньку нашего простого человека, попавшего в незаморскую страну Нидерландию. Плюсы, минусы, подводные камни - всё, как вы любите, короче. Не то, чтобы сам лично согласен с излагаемым там, однако это мнение с большой буквы Мэ и кому-то может быть от интересно до помочь.

https://xn--r1a.website/manandthemachine

CI/CD на AWS

С учётом пояснений и пожеланий сделанных в чате канала, нужно повторить голосовалку - теперь с возможностью выбрать несколько вариантов и в более очевидной постановке вопроса.

Какие инструменты вы используете для CI/CD на AWS?

(можно выбрать несколько вариантов)

Jenkins - 65
👍👍👍👍👍👍👍👍 46%

GitLab CI - 47
👍👍👍👍👍 33%

AWS CodePipeline + Code* services - 12
👍 8%

Azure DevOps (Microsoft VSTS/TFS) - 3
👍 2%

Bitbucket Pipelines - 15
👍 10%

TeamCity - 15
👍 10%

Bamboo - 5
👍 3%

CircleCI - 5
👍 3%

Drone.io - 2
👍 1%

BuildMaster - 1
👍 0%

GoCD - 3
👍 2%

Travis CI - 2
👍 1%

GitHub Actions - 4
👍 2%

Codeship - 0
▫ 0%

Buddy - 0
▫ 0%

Wercker - 0
▫ 0%

Buildbot - 0
▫ 0%

Другой - 2
👍 1%

👥 141 people voted so far.

AWS IAM поломался:

Http request timed out enforced after 999ms

Impact is confirmed -- we are actively investigating.

Update: AWS IAM починился.

Between 7:30 AM and 9:45 AM PST, we experienced increased error rates due to higher latency for IAM requests. The system has recovered and is operating normally.

Действительное очень годная возможность не зря потратить какие-то выходные - удивительно качественный и при этом бесплатный контент.

https://www.youtube.com/watch?v=Ia-UEYYR44s

Ссылку на минус 10 часов личной жизни по доброте душевной презентовали в AWS User group Kazakhstan.

AWS и доброта в (бесконечном) цикле

Такие вещи случаются:

https://twitter.com/__steele/status/1218453873834086401

Как-то писал про это в "AWS и доброта", по ссылке из твиттера можно прочитать десятки таких реальных случаях на тысячи долларов в том числе.

===

Несколько выводов оттуда.

• Настоятельно рекомендуется включить и настроить биллинг-алерты:

https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/monitor_estimated_charges_with_cloudwatch.html

• Не забывайте удалять ненужные/тестовые ресурсы. (Да, Капитан!)

• Не бойтесь писать в техподдержку, даже, если вы были не правы и эта полностью ваша вина. Например, сами выложили ключ в паблик и враги намайнили ресурсов, неправильно поняли стоимостную модель или просто неочевидно накликали в конслоли (и даже много раз подряд). Всё распишите и объясните. Шансы, что спишут полностью или хотя бы часть (50-75%) очень велики.

===

Популярные скрытые угрозы незаметных расходов.

• NAT GW из примера - вы думаете, что у вас чистый аккаунт и нет виртуалок и прочих сервисов, а забываете, что он стоит денег (33$ в месяц и больше). И если вы "поигрались" с Control Tower либо Langing Zones, где насоздавали кучу "пустых" (как вы думали) аккаунтов - нужно помнить про засаду с NAT GW.

• AWS Rekognition - запросто можно распознать в цикле миллионы чего-нибудь ненужного или одного и того же.

• Route 53 Resolver endpoints - 90$ в месяц за каждый ENI.

• ACM Private CA - 400$ в месяц.

А также эти и другие в составе различных тестовых CloudFormation шаблонов, которые вы развернули и забыли удалить.

Будьте внимательны, тренируйте память, бегайте по утрам и настраивайте алерты!

#cost_optimization

Больше для новичков в AWS, но из той же годной серии - качественные 4 часа курса для подготовки к Cloud Practitioner:

https://www.youtube.com/watch?v=3hLmDS179YE

Добавлю ещё, что если вы - руководитель компании, работающей с AWS, то очень стоит подумать о том, дабы все ваши сотрудники прошли такой курс. Самое важное, быстро учится и просто сдаётся, но главное - позволяет закрыть кучу вопросов, которые возникают в результате элементарного незнания элементарно доступного.

Повышайте эффективность своих подчинённых, уменьшая коэффициент велосипедостроительства.

#AWS_Certification

Отдельные граждане тут просили не путать сервис Control Tower и Solution Landing Zone. Посмотрим, что они теперь скажут на это:

https://aws.amazon.com/solutions/customizations-for-aws-control-tower/

Краткое содержание предыдущих серий. Для помощи в реализации Multi Account Strategy Амазон выпустил в 2018-ом Solution (не путать с сервисом) AWS Landing Zone, а 2019-ом полноценный сервис (а не какое-то там решение) AWS Control Tower.

И вот теперь, чтобы жизнь мёдом не казалась, и чтобы было больше ошибок на экзаменах по сертификации, они выпустили Solution для улучшения сервиса Control Tower.

Поставить такое решение можно лишь тем, кто развернул свою организацию с помощью сервиса Control Tower. Остальные (в том числе я) ждём, пока Control Tower научится работать с существующими организациями. И выход данного решения показывает, что прогнозы на получение такого функционала летом весьма реальны.

#Control_Tower

Продолжая серию видео, чтобы разбить многочасовые оперы по курсам, есть отличный набор коротких (5-10 минут) видео-роликов по архитектуре на амазоне:

https://aws.amazon.com/this-is-my-architecture/

Роликов много (сотни), можно поискать по нужному направлению, а можно просто смотреть подряд. Отличный и наглядный способ посмотреть, как кто что где и зачем у себя пилит.

#design #video

⁠Отличный источник примеров работы с #CloudFormation #templates (а также #Terraform и #aws_cli) плюс прямые ссылки на документацию, официальные блоги, всяческие безопасности и различные #best_practices:

https://asecure.cloud/

Однозначно в закладки.

#security #info

⁠Появился экспорт #RDS снэпшотов на S3:

https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_ExportSnapshot.html

Аналогично для #Aurora:

https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/USER_ExportSnapshot.html

Можно экспортировать не весь снэпшот, а лишь часть, сохраняется в parquet-формате.

​​Туториал использования SRR (Same-Region Replication) для сбора логов из разных аккаунтов в один бакет:

https://aws.amazon.com/blogs/storage/aggregating-logs-with-s3-same-region-replication/

Подход применим не только для логов, но и, к примеру, для автоматической синхронизации свежедобавленной информации для dev-бакета в какой-то test-бакет, расположенный в другом аккаунте (того же региона). Кроме того реплицировать можно не весь бакет, а лишь нужную папку.

#SRR