AWSPremiumSupport-CollectAWSGlueMetadata

Description (Descripción)

El AWSPremiumSupport-CollectAWSGlueMetadata manual recopila los metadatos de configuración de sus AWS Glue recursos, incluidas las bases de datos, los rastreadores, los trabajos de ETL, los puntos finales de desarrollo, los desencadenadores, los flujos de trabajo y las configuraciones de seguridad. El runbook escribe estos metadatos en un informe JSON del bucket de Amazon S3 que usted elija. Su administrador técnico de cuentas (TAM) o gerente técnico de cuentas especializado (STAM) revisa el informe como parte de la revisión AWS Glue operativa. Esta revisión es una evaluación proactiva de su AWS Glue entorno comparándola con las AWS mejores prácticas.

Funcionamiento

Una aplicación de Python recopila los AWS Glue metadatos. La aplicación se ejecuta en una instancia temporal de Amazon EC2. El runbook crea esta instancia temporal en una nueva Amazon VPC aislada mediante una plantilla integrada. AWS CloudFormation La instancia Amazon EC2 se ejecuta en una subred privada con acceso a Internet a través de una puerta de enlace de traducción de direcciones de red (NAT). El runbook accede a AWS los servicios, incluidos Amazon EC2 Systems Manager y Amazon S3 AWS Glue, a través de puntos de enlace de Amazon VPC en la misma región. La puerta de enlace NAT recupera los metadatos de los depósitos de Amazon S3 que están asociados a sus recursos en otras regiones. AWS Glue AWS

Cuando el manual finaliza, elimina la CloudFormation pila y carga el informe en el bucket de Amazon S3 de su elección. A continuación, el manual adjunta el informe al caso de AWS soporte para esta revisión operativa. El archivo JSON se encuentra en la carpeta raíz de su bucket de Amazon S3. Póngase en contacto con su TAM o STAM si tiene preguntas sobre la revisión operativa y los metadatos recopilados.

Ejecuta esta automatización (consola)

Tipo de documento

Automatización

Propietario

Amazon

Plataformas

/

Parámetros de documento

Los permisos de IAM necesarios para recopilar el AWS Glue metadatos

La aplicación de recopilación de AWS Glue datos requiere las siguientes acciones para ejecutar correctamente este libro de operaciones y cargar el archivo en el bucket privado de Amazon S3 que elija. Un rol de IAM concede automáticamente estos permisos a la instancia temporal de Amazon EC2.

Se requieren los permisos de IAM para ejecutar este manual

Para ejecutar este libro de ejecución, el usuario de IAM AutomationAssumeRole o su usuario deben realizar las siguientes acciones. Estos permisos son necesarios para crear una nueva Amazon VPC temporal y la instancia Amazon EC2 utilizando. CloudFormation

El siguiente ejemplo de política muestra los permisos con menos privilegios necesarios para. AutomationAssumeRole Sustituya REGIONACCOUNTID, y por sus S3_BUCKET_NAME propios valores:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudFormationStackAccess",
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStackEvents",
                "cloudformation:DescribeStacks",
                "cloudformation:UpdateStack"
            ],
            "Resource": "arn:aws:cloudformation:REGION:ACCOUNTID:stack/AWSPremiumSupport-CollectAWSGlueMetadata-*/*"
        },
        {
            "Sid": "EC2NetworkingAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:AllocateAddress",
                "ec2:AssociateRouteTable",
                "ec2:AttachInternetGateway",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateInternetGateway",
                "ec2:CreateNatGateway",
                "ec2:CreateRoute",
                "ec2:CreateRouteTable",
                "ec2:CreateSecurityGroup",
                "ec2:CreateSubnet",
                "ec2:CreateTags",
                "ec2:CreateVpc",
                "ec2:CreateVpcEndpoint",
                "ec2:DeleteInternetGateway",
                "ec2:DeleteNatGateway",
                "ec2:DeleteRoute",
                "ec2:DeleteRouteTable",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteSubnet",
                "ec2:DeleteTags",
                "ec2:DeleteVpc",
                "ec2:DeleteVpcEndpoints",
                "ec2:DescribeAddresses",
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeNatGateways",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcs",
                "ec2:DetachInternetGateway",
                "ec2:DisassociateRouteTable",
                "ec2:ModifySubnetAttribute",
                "ec2:ModifyVpcAttribute",
                "ec2:RebootInstances",
                "ec2:ReleaseAddress",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RunInstances",
                "ec2:TerminateInstances"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "REGION"
                }
            }
        },
        {
            "Sid": "IAMRoleAccess",
            "Effect": "Allow",
            "Action": [
                "iam:AddRoleToInstanceProfile",
                "iam:AttachRolePolicy",
                "iam:CreateInstanceProfile",
                "iam:CreateRole",
                "iam:DeleteInstanceProfile",
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:GetInstanceProfile",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:PutRolePolicy",
                "iam:RemoveRoleFromInstanceProfile"
            ],
            "Resource": [
                "arn:aws:iam::ACCOUNTID:role/AWSPremiumSupport-CollectAWSGlueMetadata-*",
                "arn:aws:iam::ACCOUNTID:instance-profile/AWSPremiumSupport-CollectAWSGlueMetadata-*"
            ]
        },
        {
            "Sid": "PassRoleToEC2",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNTID:role/AWSPremiumSupport-CollectAWSGlueMetadata-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Sid": "S3BucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetAccountPublicAccessBlock",
                "s3:GetBucketAcl",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::S3_BUCKET_NAME"
        },
        {
            "Sid": "SSMAutomationAccess",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeInstanceInformation",
                "ssm:GetDocument",
                "ssm:GetParameters",
                "ssm:ListCommandInvocations",
                "ssm:ListCommands",
                "ssm:SendCommand"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "REGION"
                }
            }
        },
        {
            "Sid": "SupportCaseAccess",
            "Effect": "Allow",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:DescribeCases"
            ],
            "Resource": "*"
        }
    ]
}
        

Documente los pasos