​​Рекомендации AWS по мульти-аккаунтам:

https://aws.amazon.com/organizations/getting-started/best-practices/

#Organizations #best_practices #multi_account_strategy

​​Лабы по AWS от производителя:

https://wellarchitectedlabs.com/

→ Подойдёт, если хотите сами пошагово разобраться и сделать.
→ Подойдёт, если хотите научить кого-то пошагово разобраться и сделать.

Разные уровни сложности, лучшие практики, подробное описание с картинками, широкий спектр задач.

#info #best_practices

Современные способы создания сетевой инфраструктуры AWS:

https://d1.awsstatic.com/whitepapers/building-a-scalable-and-secure-multi-vpc-aws-network-infrastructure.pdf

От VPC Peering и Transit VPC к Transit Gateway и Shared VPC. А также PrivateLink, Direct Connect и другие Networking возможности AWS, в том числе с учётом #multi_account_strategy.

#networking #best_practices

​​Безопасность EKS — лучшие практики:

https://aws.github.io/aws-eks-best-practices/

Сетевая безопасность, защита подов, инфраструктура, compliance и так далее. Рекомендации, ссылки на другие ресурсы и инструменты.

Отличный, комплексно и качественно выполненный документ. Безопасникам — однозначно в закладки.

#security #best_practices #EKS

Well-Architected по Machine Learning:

https://aws.amazon.com/blogs/architecture/introducing-the-well-architected-framework-for-machine-learning/

#design #ML #best_practices

Проектируем и эксплуатируем Well-Architected аналитику с помощью Analytics Lens:

https://aws.amazon.com/blogs/big-data/build-an-aws-well-architected-environment-with-the-analytics-lens/

Даже если не связаны с проектами по аналитике, полезно глянуть, как рекомендуется выстраивать такие процессы. С помощью таких рекомендаций можно с ходу придумать схему, которая при этом подпадёт под #best_practices.

Например, данные собираются в S3 через Storage Gateway. Анализируем их с помощью Athena, метаданные отправляем в Elasticsearch для возможности классификации и поиска, везде используем шифрование с помощью своего KMS ключа, а пользовательский доступ к конечным данным реализуем с помощью Cognito.

#design

​​Лучшие практики при использовании RDS PostgreSQL с cross-region репликами:

https://aws.amazon.com/blogs/database/best-practices-for-amazon-rds-for-postgresql-cross-region-read-replicas/

#RDS #PostgreSQL #best_practices

​​Как правильно писать питоновские Лямбды для девопс-задач:

https://medium.com/@jan.groth.de/10-recommendations-for-writing-pragmatic-aws-lambdas-in-python-5f4b038caafe

Отличный набор #best_practices, примеров и рекомендаций. Обязательно стоит почитать.

1. Используем линтеры
2. Отделяем handler от основной логики
3. Отдельная задача в отдельном методе
4. Внешние зависимости в отдельном методе
5. Инициализируем внешние зависимости в конструкторе
6. Незачем обрабатывать все возможные ошибки
7. Нужные ошибки обрабатываем отдельно
8. Логируем и задаём нужный уровень
9. Минимальный уровень логирования при деплое через CloudFormation
10. Декораторы полезны

#Lambda

Лучшие практики по отработке прерываний Spot-виртуалок:

https://aws.amazon.com/blogs/compute/best-practices-for-handling-ec2-spot-instance-interruptions/

Пространный документ, где перечислены рекомендации для обычных виртуалок и контейнерных сервисов.

#spot #best_practices

Best Practices для шифрования EBS дисков:

https://aws.amazon.com/blogs/compute/must-know-best-practices-for-amazon-ebs-encryption/

Некоторые всегда полезные моменты по шифрованию:

🔹Совсем старые типы виртуалок (C1, M1, M2, T1) не поддерживают EBS шифрование
🔹Зашифрованный AMI нельзя сделать публичным
🔹Зашифрованный с помощью дефолтного ключа (AWS Managed) образ нельзя расшарить — для этого нужно шифровать с помощью AWS managed CMK

#EBS #best_practices

Лучшие практики использования OU (Organizational Units) в мульти-аккаунтах:

https://aws.amazon.com/blogs/mt/best-practices-for-organizational-units-with-aws-organizations/

#best_practices #multi_account_strategy #Organizations

Стратегии тэгирования в AWS:

https://dev.to/cloudforecast/aws-tagging-best-practices-guide-part-1-of-3-3f85

#tags #best_practices

​​Стратегии тэгирования в AWS — с использованием CloudFormation и Terraform:

https://www.cloudforecast.io/blog/aws-tagging-best-practices-guide-part-2/

Часть вторая очень полезной серии.
(первая часть была здесь)

#tags #best_practices #CloudFormation #Terraform

​​Продолжение отличной серии по стратегии тэгирования AWS:

https://www.cloudforecast.io/blog/maintain-aws-tags-when-you-fall-behind-part-3/

#tags #best_practices

Советы по работе с AWS Organizations от производителя:

https://docs.aws.amazon.com/organizations/latest/userguide/orgs_best-practices.html

Рекомендации для мастер-аккаунта и для подаккаунтов.
Основные:
▪️ не используйте публичные почтовые сервисы (бо̀льшая вероятность взлома)
▪️ обязательно включайте MFA
▪️ блокируйте root-юзеров в подаккаунтах с помощью SCP
▪️ периодически проверяйте процесс восстановления доступа к аккаунту (чтобы проверить, что всё нужное для этого есть у нужных людей)
▪️ создайте/обновляйте документацию по процессу восстановления доступа

#best_practices #Organizations

​​Superwerker

Кто про что, а в̶ш̶и̶в̶ы̶й̶ ̶п̶р̶о̶ ̶б̶а̶н̶ю̶ я про AWS Organizations. Которой в этом году исполнится пять лет. И, значит, уже пятый год мы живём без гуманной процедуры удаления аккаунта, без временных аккаунтов.

За это время использование #multi_account_strategy стало обязательной практикой, в помощь чему появился сервис Control Tower, который в прошлом году обзавёлся возможностью работать в том числе и в существующей организации.

Однако порог входа для начала работы с лучшими практиками, которые даёт Organizations, пока по-прежнему высок. В попытке его снизить, намедни появился новый open source инструмент – superwerker:

https://github.com/superwerker/superwerker

Хороший набор #security #best_practices, правда, хороший – самое основное, что нужно иметь. Идеи по управлению аккаунтами в том числе позаимстованы из AWS Account Controller от Ian Mckay. Модный event-driven подход, (практически) бесплатные Лямбды.

Если бы хотел начать – точно бы обратил внимание. Заявленные фичи действительно самые нужные-востребованные:

▪️ Control Tower
▪️ AWS SSO
▪️ GuardDuty+dashboards
▪️ Security Hub+dashboards
▪️ AWS Backup
▪️ AWS Budgets
▪️ SCP guardrails
▪️ SSM+OpsCenter
▪️ CloudWatch dashboard

То, что (в первой версии) нет сетевой части, по мне так это и к лучшему. Система расширяемая и новые фичи вскоре наверняка будут с излишком.

Установка Superwerker официально доступна в качестве AWS Quick Start:

https://aws.amazon.com/quickstart/architecture/superwerker/

Хорошая штука, в общем. Можно рекомендовать.

#Organizations

Лучшие практики при работе с AWS CDK:

https://aws.amazon.com/blogs/devops/best-practices-for-developing-cloud-applications-with-aws-cdk/

#CDK #best_practices

S3 security — Top 10 best practices:

https://aws.amazon.com/blogs/security/top-10-security-best-practices-for-securing-data-in-amazon-s3/

1️⃣ Block public S3 buckets at the organization level
2️⃣ Use bucket policies to verify all access granted is restricted and specific
3️⃣ Ensure that any identity-based policies don’t use wildcard actions
4️⃣ Enable S3 protection in GuardDuty to detect suspicious activities
5️⃣ Use Macie to scan for sensitive data outside of designated areas
6️⃣ Encrypt your data in S3
7️⃣ Protect data in S3 from accidental deletion using S3 Versioning and S3 Object Lock
8️⃣ Enable logging for S3 using CloudTrail and S3 server access logging
9️⃣ Backup your data in S3
🔟 Monitor S3 using Security Hub and CloudWatch Logs

#S3 #security #best_practices