View a markdown version of this page

AWSPremiumSupport-PostgreSQLWorkloadReview - AWS Systems Manager Runbook-Referenz für Automation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWSPremiumSupport-PostgreSQLWorkloadReview

Beschreibung

Das AWSPremiumSupport-PostgreSQLWorkloadReview Runbook erfasst mehrere Schnappschüsse der Nutzungsstatistiken Ihrer Amazon Relational Database Service (Amazon RDS) PostgreSQL-Datenbank. Die erfassten Statistiken sind erforderlich, damit ein Experte von Support Proactive Services eine Betriebsüberprüfung durchführen kann. Die Statistiken werden mithilfe einer Reihe von benutzerdefinierten SQL- und Shell-Skripten erfasst. Diese Skripts werden auf eine temporäre Amazon Elastic Compute Cloud (Amazon EC2) -Instance in Ihrem AWS-Konto , die von diesem Runbook erstellt wurde, heruntergeladen. Für das Runbook müssen Sie Anmeldeinformationen mithilfe eines AWS Secrets Manager Geheimnisses angeben, das ein Schlüssel-Wert-Paar aus Benutzername und Passwort enthält. Der Benutzername muss über Berechtigungen verfügen, um die standardmäßigen PostgreSQL-Statistikansichten und -funktionen abzufragen.

Dieses Runbook erstellt automatisch die folgenden AWS Ressourcen in Ihrem AWS-Konto Using an Stack. AWS CloudFormation Sie können die Stack-Erstellung mithilfe der CloudFormation Konsole überwachen.

  • Eine Virtual Private Cloud (VPC) und eine Amazon EC2-Instance, die in einem privaten Subnetz der VPC mit optionaler Konnektivität zum Internet über ein NAT-Gateway gestartet wurden.

  • Eine AWS Identity and Access Management (IAM-) Rolle, die der temporären Amazon EC2-Instance zugeordnet ist und über die Berechtigung verfügt, den geheimen Secrets Manager-Wert abzurufen. Die Rolle bietet auch Berechtigungen zum Hochladen von Dateien in einen Amazon Simple Storage Service (Amazon S3) -Bucket Ihrer Wahl und optional in einen Support Fall.

  • Eine VPC-Peering-Verbindung, um die Konnektivität zwischen Ihrer DB-Instance und der temporären Amazon EC2-Instance zu ermöglichen.

  • Systems Manager-, Secrets Manager- und Amazon S3-VPC-Endpunkte, die an die temporäre VPC angehängt sind.

  • Ein Wartungsfenster mit registrierten Aufgaben, die in regelmäßigen Abständen die temporäre Amazon EC2-Instance starten und stoppen, Datenerfassungsskripts ausführen und Dateien in einen Amazon S3-Bucket hochladen. Für das Wartungsfenster wird auch eine IAM-Rolle erstellt, die Berechtigungen zur Ausführung der registrierten Aufgaben gewährt.

Wenn das Runbook abgeschlossen ist, wird der CloudFormation Stack, der zur Erstellung der erforderlichen AWS Ressourcen verwendet wurde, gelöscht und der Bericht wird in den Amazon S3-Bucket Ihrer Wahl hochgeladen, optional auch ein Support Fall.

Anmerkung

Standardmäßig wird das Amazon EBS-Root-Volume der temporären Amazon EC2-Instance beibehalten. Sie können diese Option überschreiben, indem Sie den EbsVolumeDeleteOnTermination Parameter auf setzen. true

Voraussetzungen

  • Enterprise Support-Abonnement Für dieses Runbook und die Workload Diagnostics and Reviews von Proactive Services ist ein Enterprise Support-Abonnement erforderlich. Bevor Sie dieses Runbook verwenden, wenden Sie sich an Ihren Technical Account Manager (TAM) oder Specialist TAM (STAM), um Anweisungen zu erhalten. Weitere Informationen finden Sie unter Proactive Services. Support

  • Konto und AWS-Region Kontingente Stellen Sie sicher, dass Sie nicht die maximale Anzahl an Amazon EC2-Instances oder VPCs erreicht haben, die Sie in Ihrem Konto und in der Region, in der Sie dieses Runbook verwenden, erstellen können. Wenn Sie eine Erhöhung des Limits beantragen müssen, lesen Sie das Formular zur Erhöhung des Servicelimits.

  • Konfiguration der Datenbank

    1. Für die Datenbank, die Sie im DatabaseName Parameter angeben, sollte die pg_stat_statements Erweiterung konfiguriert sein. Wenn Sie es nicht konfiguriert pg_stat_statements habenshared_preload_libraries, müssen Sie den Wert in der DB-Parametergruppe bearbeiten und die Änderungen anwenden. Änderungen an dem Parameter shared_preload_libraries erfordern einen Neustart Ihrer DB-Instance. Weitere Informationen finden Sie unter Arbeiten mit Parametergruppen. Wenn Sie pg_stat_statements zu hinzufügen, shared_preload_libraries erhöht sich der Leistungsaufwand. Dies ist jedoch nützlich, um die Leistung einzelner Kontoauszüge zu verfolgen. Weitere Informationen zur pg_stat_statements Erweiterung finden Sie in der PostgreSQL-Dokumentation. Wenn Sie die Erweiterung nicht konfigurieren oder wenn die pg_stat_statements Erweiterung in der Datenbank, die für die Erfassung von Statistiken verwendet wird, nicht vorhanden ist, wird die Analyse auf Anweisungsebene in der Betriebsüberprüfung nicht dargestellt.

    2. Stellen Sie sicher, dass die track_activities Parameter track_counts und nicht ausgeschaltet sind. Wenn diese Parameter in der DB-Parametergruppe deaktiviert sind, sind keine aussagekräftigen Statistiken verfügbar. Wenn Sie diese Parameter ändern, müssen Sie Ihre DB-Instance neu starten. Weitere Informationen finden Sie unter Arbeiten mit Parametern auf Ihrer Amazon RDS for PostgreSQL-DB-Instance.

    3. Wenn der track_io_timing Parameter ausgeschaltet ist, werden die I/O Level-Statistiken nicht in die Betriebsüberprüfung einbezogen. Bei einer Änderung track_io_timing müssen Sie Ihre DB-Instance neu starten, und je nach Arbeitslast der DB-Instance entsteht zusätzlicher Leistungsaufwand. Trotz des Leistungsaufwands für kritische Workloads liefert dieser Parameter nützliche Informationen zur I/O Zeit pro Abfrage.

Abrechnung und Gebühren AWS-Konto Ihnen werden die Kosten in Verbindung mit der temporären Amazon EC2-Instance, dem zugehörigen Amazon EBS-Volume, dem NAT-Gateway und den während der Ausführung dieser Automatisierung übertragenen Daten in Rechnung gestellt. Standardmäßig erstellt dieses Runbook eine t3.micro Amazon Linux 2-Instance zur Erfassung der Statistiken. Das Runbook startet und stoppt die Instance zwischen den einzelnen Schritten, um die Kosten zu senken.

Datensicherheit und Verwaltung Dieses Runbook erfasst Statistiken, indem es die PostgreSQL-Statistikansichten und -funktionen abfragt. Stellen Sie sicher, dass die im SecretId Parameter angegebenen Anmeldeinformationen nur Leseberechtigungen für die Statistikansichten und -funktionen zulassen. Im Rahmen der Automatisierung werden die Erfassungsskripte in Ihren Amazon S3-Bucket hochgeladen und befinden sich dort. s3://amzn-s3-demo-bucket/automation execution id/queries/

Diese Skripte sammeln Daten, die von einem AWS Spezialisten zur Überprüfung der wichtigsten Leistungsindikatoren auf Objektebene verwendet werden. Das Skript sammelt Informationen wie Tabellenname, Schemaname und Indexname. Wenn eine dieser Informationen vertrauliche Informationen wie Umsatzindikatoren, Benutzername, E-Mail-Adresse oder andere persönlich identifizierbare Informationen enthält, empfehlen wir Ihnen, diese Workload-Überprüfung abzubrechen. Wenden Sie sich an Ihren AWS TAM, um einen alternativen Ansatz für die Workload-Überprüfung zu besprechen.

Stellen Sie sicher, dass Sie über die erforderliche Genehmigung und Freigabe verfügen, um die von dieser Automatisierung gesammelten Statistiken und Metadaten mit AWS anderen zu teilen.

Sicherheitsüberlegungen Wenn Sie den UpdateRdsSecurityGroup Parameter auf setzenyes, aktualisiert das Runbook die Ihrer DB-Instance zugeordnete Sicherheitsgruppe, um eingehenden Datenverkehr von der privaten IP-Adresse der temporären Amazon EC2-Instance zuzulassen.

Wenn Sie den UpdateRdsRouteTable Parameter auf setzenyes, aktualisiert das Runbook die Routing-Tabelle, die dem Subnetz zugeordnet ist, in dem Ihre DB-Instance läuft, um den Datenverkehr zur temporären Amazon EC2-Instance über die VPC-Peering-Verbindung zu ermöglichen.

Benutzererstellung Damit das Erfassungsskript eine Verbindung zu Ihrer Amazon RDS-Datenbank herstellen kann, müssen Sie einen Benutzer einrichten, der berechtigt ist, die Statistikansichten zu lesen. Dann müssen Sie die Anmeldeinformationen in Secrets Manager speichern. Wir empfehlen, einen neuen dedizierten Benutzer für diese Automatisierung zu erstellen. Wenn Sie einen separaten Benutzer erstellen, können Sie die von dieser Automatisierung ausgeführten Aktivitäten überprüfen und verfolgen.

  1. Erstellen Sie einen neuen Benutzer.

    psql -h <database_connection_endpoint> -p <database_port> -U <admin_user> -c "CREATE USER <user_name> PASSWORD '<password>';"

  2. Stellen Sie sicher, dass dieser Benutzer nur schreibgeschützte Verbindungen herstellen kann.

    psql -h <database_connection_endpoint> -p <database_port> -U <admin_user> -c "ALTER USER <user_name> SET default_transaction_read_only=true;"

  3. Legen Sie Grenzwerte auf Benutzerebene fest.

    psql -h <database_connection_endpoint> -p <database_port> -U <admin_user> -c "ALTER USER <user_name> SET work_mem=4096;"

    psql -h <database_connection_endpoint> -p <database_port> -U <admin_user> -c "ALTER USER <user_name> SET statement_timeout=10000;"

    psql -h <database_connection_endpoint> -p <database_port> -U <admin_user> -c "ALTER USER <user_name> SET idle_in_transaction_session_timeout=60000;"

  4. Erteilen Sie dem neuen Benutzer pg_monitor Berechtigungen, damit er auf die DB-Statistiken zugreifen kann. (Die pg_monitor Rolle ist Mitglied von pg_read_all_settingspg_read_all_stats, undpg_stat_scan_table.)

    psql -h <database_connection_endpoint> -p <database_port> -U <admin_user> -c "GRANT pg_monitor to <user_name>;"

Berechtigungen, die dem temporären Amazon EC2-Instance-Profil durch diese Systems Manager-Automatisierung hinzugefügt wurden Die folgenden Berechtigungen werden der IAM-Rolle hinzugefügt, die der temporären Amazon EC2-Instance zugeordnet ist. Die AmazonSSMManagedInstanceCore verwaltete Richtlinie ist auch mit der IAM-Rolle verknüpft, sodass die Amazon EC2-Instance von Systems Manager verwaltet werden kann.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:DescribeTags"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/automation-execution-id/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:secret-id",
            "Effect": "Allow"
        },
        {
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:DescribeCases"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Berechtigungen, die dem temporären Wartungsfenster durch diese Systems Manager-Automatisierung hinzugefügt wurden Die folgenden Berechtigungen werden automatisch der IAM-Rolle hinzugefügt, die mit den Windows-Wartungsaufgaben verknüpft ist. Die Windows-Wartungsaufgaben werden gestartet, gestoppt und Befehle an die temporäre Amazon EC2-Instance gesendet.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "ssm:GetAutomationExecution",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations",
                "ssm:GetCommandInvocation",
                "ssm:GetCalendarState",
                "ssm:CancelCommand",
                "ec2:DescribeInstanceStatus"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ssm:SendCommand",
                "ec2:StartInstances",
                "ec2:StopInstances",
                "ssm:StartAutomationExecution"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-1:111122223333:instance/temporary-instance-id",
                "arn:aws:ssm:*:*:document/AWS-RunShellScript",
                "arn:aws:ssm:*:*:document/AWS-StopEC2Instance",
                "arn:aws:ssm:*:*:document/AWS-StartEC2Instance",
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        },
        {
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                },
                "ArnLike": {
                    "iam:AssociatedResourceARN": "arn:aws:ssm:*:*:document/AWS-*"
                }
            },
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::111122223333:role/SSM-*",
            "Effect": "Allow"
        }
    ]
}

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Datenbanken

Parameter

  • AutomationAssumeRole

    Typ: Zeichenfolge

    Beschreibung: (Optional) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen durchzuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.

  • DBInstanceIdentifier

    Typ: Zeichenfolge

    Beschreibung: (Erforderlich) Die ID Ihrer DB-Instance.

  • DatabaseName

    Typ: Zeichenfolge

    Beschreibung: (Erforderlich) Der Datenbankname, der auf Ihrer DB-Instance gehostet wird.

  • SecretId

    Typ: Zeichenfolge

    Beschreibung: (Erforderlich) Die ARN Ihres Secrets Manager-Geheimnisses, das das Schlüsselwertpaar Benutzername und Passwort enthält. Der CloudFormation Stack erstellt eine IAM-Richtlinie mit Berechtigungen für den GetSecretValue Vorgang mit diesem ARN. Die Anmeldeinformationen werden verwendet, damit die temporäre Instanz die Datenbankstatistiken sammeln kann. Wenden Sie sich an Ihren TAM oder STAM, um die erforderlichen Mindestberechtigungen zu besprechen.

  • Bestätigen

    Typ: Zeichenfolge

    Beschreibung: (Erforderlich) Geben Sie ein, yes wenn Sie bestätigen, dass dieses Runbook temporäre Ressourcen in Ihrem Konto erstellt, um Statistiken aus Ihrer DB-Instance zu sammeln. Wir empfehlen, sich mit Ihrem TAM oder STAM in Verbindung zu setzen, bevor Sie diese Automatisierung ausführen.

  • SupportCase

    Typ: Zeichenfolge

    Beschreibung: (Optional) Die von Ihrem TAM oder STAM angegebene Support Fallnummer. Falls angegeben, aktualisiert das Runbook den Fall und fügt die gesammelten Daten hinzu. Für diese Option muss die temporäre Amazon EC2-Instance über eine Internetverbindung verfügen, um auf den Support API-Endpunkt zugreifen zu können. Sie müssen den AllowVpcInternetAccess Parameter auf setzen. true Der Betreff des Falls muss den Ausdruck enthaltenAWSPremiumSupport-PostgreSQLWorkloadReview.

  • S3BucketName

    Typ: Zeichenfolge

    Beschreibung: (Erforderlich) Der Amazon S3-Bucket-Name in Ihrem Konto, in das Sie die von der Automatisierung gesammelten Daten hochladen möchten. Stellen Sie sicher, dass die Bucket-Richtlinie Principals, die keinen Zugriff auf den Inhalt des Buckets benötigen, keine unnötigen Lese- oder Schreibberechtigungen gewährt. Wir empfehlen, für diese Automatisierung einen neuen temporären Amazon S3-Bucket zu erstellen. Das Runbook gewährt der IAM-Rolle, die der temporären Amazon EC2-Instance zugeordnet ist, Berechtigungen für den s3:PutObject API-Vorgang. Die hochgeladenen Dateien befinden sich in. s3://bucket name/automation execution id/

  • InstanceType

    Typ: Zeichenfolge

    Beschreibung: (Optional) Der Typ der temporären Amazon EC2-Instance, die die benutzerdefinierten SQL- und Shell-Skripte ausführt.

    Gültige Werte: t2.micro | t2.small | t2.medium | t2.large | t3.micro | t3.small | t3.medium | t3.large

    Standard: t3.micro

  • VpcCidr

    Typ: Zeichenfolge

    Beschreibung: (Optional) Der IP-Adressbereich in CIDR-Notation für die neue VPC (z. B.). 172.31.0.0/16 Stellen Sie sicher, dass Sie einen CIDR auswählen, der sich mit keiner vorhandenen VPC mit Konnektivität zu Ihrer DB-Instance überschneidet oder diesem entspricht. Die kleinste VPC, die Sie erstellen können, verwendet eine /28-Subnetzmaske, und die größte VPC verwendet eine /16-Subnetzmaske.

    Standard: 172.31.0. 0/16

  • StackResourcesNamePrefix

    Typ: Zeichenfolge

    Beschreibung: (Optional) Das Namenspräfix und das Tag der CloudFormation Stack-Ressourcen. Das Runbook erstellt die CloudFormation Stack-Ressourcen unter Verwendung dieses Präfixes als Teil des Namens und des Tags, die auf die Ressourcen angewendet werden. Die Struktur für das Tag-Schlüssel-Wert-Paar lautet. StackResourcesNamePrefix:{{automation:EXECUTION_ID}}

    Standard: AWSPostgreSQLWorkloadReview

  • Plan

    Typ: Zeichenfolge

    Beschreibung: (Optional) Der Zeitplan für das Wartungsfenster. Gibt an, wie oft das Wartungsfenster die Aufgaben ausführt. Der Standardwert ist every1 hour.

    Gültige Werte: 15 Minuten | 30 Minuten | 1 Stunde | 2 Stunden | 4 Stunden | 6 Stunden | 12 Stunden | 1 Tag | 2 Tage | 4 Tage

    Standard: 1 Stunde

  • Dauer

    Typ: Ganzzahl

    Beschreibung: (Optional) Die maximale Dauer in Minuten, für die Sie die Ausführung der Automatisierung zulassen möchten. Die maximal unterstützte Dauer beträgt 8.640 Minuten (6 Tage). Der Standardwert ist 4.320 Minuten (3 Tage).

    Gültige Werte: 30-8640

    Standard: 4320

  • UpdateRdsRouteTable

    Typ: Zeichenfolge

    Beschreibung: (Optional) Wenn auf gesetzttrue, aktualisiert das Runbook die Routing-Tabelle, die dem Subnetz zugeordnet ist, in dem Ihre DB-Instance ausgeführt wird. Eine IPv4-Route wird hinzugefügt, um den Datenverkehr über die neu erstellte VPC-Peering-Verbindung an die temporäre private IPV4-Adresse der Amazon EC2-Instance weiterzuleiten.

    Zulässige Werte: true | false

    Standard: false

  • AllowVpcInternetAccess

    Typ: Zeichenfolge

    Beschreibung: (Optional) Wenn auf gesetzttrue, erstellt das Runbook ein NAT-Gateway, das die Internetverbindung zur temporären Amazon EC2-Instance bereitstellt, um mit dem API-Endpunkt zu kommunizieren. Support Sie können diesen Parameter so belassen, als false ob nur das Runbook die Ausgabe in Ihren Amazon S3-Bucket hochladen soll.

    Zulässige Werte: true | false

    Standard: false

  • UpdateRdsSecurityGroup

    Typ: Zeichenfolge

    Beschreibung: (Optional) Wenn dieser Wert auf gesetzt isttrue, aktualisiert das Runbook die Ihrer DB-Instance zugeordnete Sicherheitsgruppe, um den Datenverkehr von der privaten IP-Adresse der temporären Instance zuzulassen.

    Gültige Werte: false | true

    Standard: false

  • EbsVolumeDeleteOnTermination

    Typ: Zeichenfolge

    Beschreibung: (Optional) Wenn auf gesetzttrue, wird das Root-Volume der temporären Amazon EC2-Instance gelöscht, nachdem das Runbook abgeschlossen und der Stack gelöscht wurde. CloudFormation

    Gültige Werte: false | true

    Standard: false

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

  • cloudformation:CreateStack

  • cloudformation:DeleteStack

  • cloudformation:DescribeStackEvents

  • cloudformation:DescribeStackResource

  • cloudformation:DescribeStacks

  • cloudformation:UpdateStack

  • ec2:AcceptVpcPeeringConnection

  • ec2:AllocateAddress

  • ec2:AssociateRouteTable

  • ec2:AssociateVpcCidrBlock

  • ec2:AttachInternetGateway

  • ec2:AuthorizeSecurityGroupEgress

  • ec2:AuthorizeSecurityGroupIngress

  • ec2:CreateEgressOnlyInternetGateway

  • ec2:CreateInternetGateway

  • ec2:CreateNatGateway

  • ec2:CreateRoute

  • ec2:CreateRouteTable

  • ec2:CreateSecurityGroup

  • ec2:CreateSubnet

  • ec2:CreateTags

  • ec2:CreateVpc

  • ec2:CreateVpcEndpoint

  • ec2:CreateVpcPeeringConnection

  • ec2:DeleteEgressOnlyInternetGateway

  • ec2:DeleteInternetGateway

  • ec2:DeleteNatGateway

  • ec2:DeleteRoute

  • ec2:DeleteRouteTable

  • ec2:DeleteSecurityGroup

  • ec2:DeleteSubnet

  • ec2:DeleteTags

  • ec2:DeleteVpc

  • ec2:DeleteVpcEndpoints

  • ec2:DescribeAddresses

  • ec2:DescribeEgressOnlyInternetGateways

  • ec2:DescribeImages

  • ec2:DescribeInstances

  • ec2:DescribeInstanceStatus

  • ec2:DescribeInternetGateways

  • ec2:DescribeNatGateways

  • ec2:DescribeRouteTables

  • ec2:DescribeSecurityGroups

  • ec2:DescribeSubnets

  • ec2:DescribeVpcEndpoints

  • ec2:DescribeVpcPeeringConnections

  • ec2:DescribeVpcs

  • ec2:DetachInternetGateway

  • ec2:DisassociateRouteTable

  • ec2:DisassociateVpcCidrBlock

  • ec2:ModifySubnetAttribute

  • ec2:ModifyVpcAttribute

  • ec2:RebootInstances

  • ec2:ReleaseAddress

  • ec2:RevokeSecurityGroupEgress

  • ec2:RevokeSecurityGroupIngress

  • ec2:StartInstances

  • ec2:StopInstances

  • ec2:RunInstances

  • ec2:TerminateInstances

  • iam:AddRoleToInstanceProfile

  • iam:AttachRolePolicy

  • iam:CreateInstanceProfile

  • iam:CreateRole

  • iam:DeleteInstanceProfile

  • iam:DeleteRole

  • iam:DeleteRolePolicy

  • iam:DetachRolePolicy

  • iam:GetInstanceProfile

  • iam:GetRole

  • iam:GetRolePolicy

  • iam:PassRole

  • iam:PutRolePolicy

  • iam:RemoveRoleFromInstanceProfile

  • iam:TagPolicy

  • iam:TagRole

  • rds:DescribeDBInstances

  • s3:GetAccountPublicAccessBlock

  • s3:GetBucketAcl

  • s3:GetBucketPolicyStatus

  • s3:GetBucketPublicAccessBlock

  • s3:ListBucket

  • ssm:AddTagsToResource

  • ssm:CancelMaintenanceWindowExecution

  • ssm:CreateDocument

  • ssm:CreateMaintenanceWindow

  • ssm:DeleteDocument

  • ssm:DeleteMaintenanceWindow

  • ssm:DeregisterTaskFromMaintenanceWindow

  • ssm:DescribeAutomationExecutions

  • ssm:DescribeDocument

  • ssm:DescribeInstanceInformation

  • ssm:DescribeMaintenanceWindowExecutions

  • ssm:GetCalendarState

  • ssm:GetDocument

  • ssm:GetMaintenanceWindowExecution

  • ssm:GetParameters

  • ssm:ListCommandInvocations

  • ssm:ListCommands

  • ssm:ListTagsForResource

  • ssm:RegisterTaskWithMaintenanceWindow

  • ssm:RemoveTagsFromResource

  • ssm:SendCommand

  • support:AddAttachmentsToSet

  • support:AddCommunicationToCase

  • support:DescribeCases

Dokumentschritte

  1. aws:assertAwsResourceProperty— Bestätigt, dass sich die DB-Instance im available Status befindet.

  2. aws:executeAwsApi- Sammelt Details über die DB-Instance.

  3. aws:executeScript— Prüft, ob der im angegebene Amazon S3-Bucket anonyme oder öffentliche Lese- oder Schreibzugriffsberechtigungen S3BucketName zulässt.

  4. aws:executeScript- Ruft den CloudFormation Vorlageninhalt aus dem Automations-Runbook-Anhang ab, der zum Erstellen der temporären AWS Ressourcen in Ihrem AWS-Konto verwendet wird.

  5. aws:createStack— Erstellt die CloudFormation Stack-Ressourcen.

  6. aws:waitForAwsResourceProperty- Wartet, bis die mit der CloudFormation Vorlage erstellte Amazon EC2-Instance läuft.

  7. aws:executeAwsApi— Ruft die IDs für die temporäre Amazon EC2-Instance und die VPC-Peering-Verbindung ab, die von erstellt wurden. CloudFormation

  8. aws:executeAwsApi— Ruft die IP-Adresse für die temporäre Amazon EC2-Instance ab, um die Konnektivität mit Ihrer DB-Instance zu konfigurieren.

  9. aws:executeAwsApi— Kennzeichnet das Amazon EBS-Volume, das an die temporäre Amazon EC2-Instance angehängt ist.

  10. aws:waitForAwsResourceProperty— Wartet, bis die temporäre Amazon EC2-Instance die Statusprüfungen bestanden hat.

  11. aws:waitForAwsResourceProperty— Wartet, bis die temporäre Amazon EC2-Instance vom Systems Manager verwaltet wird. Wenn bei diesem Schritt eine Zeitüberschreitung auftritt oder ein Fehler auftritt, startet das Runbook die Instance neu.

    1. aws:executeAwsApi— Startet die temporäre Amazon EC2-Instance neu, wenn der vorherige Schritt fehlgeschlagen ist oder ein Timeout aufgetreten ist.

    2. aws:waitForAwsResourceProperty— Wartet, bis die temporäre Amazon EC2-Instance nach dem Neustart vom Systems Manager verwaltet wird.

  12. aws:runCommand— Installiert die Anforderungen der Metadatensammler-Anwendung auf der temporären Amazon EC2-Instance.

  13. aws:runCommand- Konfiguriert den Zugriff auf Ihre DB-Instance, indem Sie eine Konfigurationsdatei auf der temporären Amazon EC2-Instance erstellen.

  14. aws:executeAwsApi- Erzeugt ein Wartungsfenster, in dem die Metadatensammler-Anwendung regelmäßig mithilfe von Run Command ausgeführt werden kann. Das Wartungsfenster startet und stoppt die Instanz zwischen den Befehlen.

  15. aws:waitForAwsResourceProperty- Wartet, bis das mit der CloudFormation Vorlage erstellte Wartungsfenster fertig ist.

  16. aws:executeAwsApi- Ruft die IDs für das Wartungsfenster und den Änderungskalender ab, die von CloudFormation erstellt wurden.

  17. aws:sleep- Wartet bis zum Enddatum des Wartungsfensters.

  18. aws:executeAwsApi- Schaltet das Wartungsfenster aus.

  19. aws:executeScript- Ruft die Ergebnisse der Aufgaben ab, die während des Wartungsfensters ausgeführt wurden.

  20. aws:waitForAwsResourceProperty- Wartet, bis das Wartungsfenster die letzte Aufgabe abgeschlossen hat, bevor der Vorgang fortgesetzt wird.

  21. aws:branch— Verzweigt den Workflow je nachdem, ob Sie einen Wert für den SupportCase Parameter angegeben haben.

    1. aws:changeInstanceState— Startet die temporäre Amazon EC2-Instance und wartet, bis die Statusprüfungen bestanden sind, bevor der Bericht hochgeladen wird.

    2. aws:waitForAwsResourceProperty— Wartet, bis die temporäre Amazon EC2-Instance vom Systems Manager verwaltet wird. Wenn bei diesem Schritt eine Zeitüberschreitung auftritt oder ein Fehler auftritt, startet das Runbook die Instance neu.

      1. aws:executeAwsApi— Startet die temporäre Amazon EC2-Instance neu, wenn der vorherige Schritt fehlgeschlagen ist oder ein Timeout aufgetreten ist.

      2. aws:waitForAwsResourceProperty— Wartet, bis die temporäre Amazon EC2-Instance nach dem Neustart vom Systems Manager verwaltet wird.

    3. aws:runCommand— Hängt den Metadatenbericht an den Support Fall an, wenn Sie einen Wert für den Parameter angegeben haben. SupportCase Das Skript komprimiert den Bericht und teilt ihn in 5-MB-Dateien auf. Die maximale Anzahl von Dateien, die das Skript an einen Support Fall anhängt, ist 12.

  22. aws:changeInstanceState— Stoppt die temporäre Amazon EC2-Instance für den Fall, dass der CloudFormation Stack nicht gelöscht werden kann.

  23. aws:executeAwsApi— Beschreibt die CloudFormation Stack-Ereignisse, wenn die Runbooks den Stack nicht erstellen oder aktualisieren können. CloudFormation

  24. aws:waitForAwsResourceProperty- Wartet mit dem Löschen, bis sich der CloudFormation Stack im Terminalstatus befindet.

  25. aws:executeAwsApi- Löscht den CloudFormation Stapel mit Ausnahme des Wartungsfensters. Das Amazon EBS-Root-Volume, das der temporären Amazon EC2-Instance zugeordnet ist, wird beibehalten, wenn der EbsVolumeDeleteOnTermination Parameterwert auf gesetzt wurde. false