Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Configurare e abilitare Monitoraggio avanzato
Per utilizzare Monitoraggio avanzato, è necessario creare un ruolo IAM e quindi abilitare Monitoraggio avanzato.
Argomenti
Creazione di un ruolo IAM per Enhanced Monitoring
Il monitoraggio avanzato richiede l'autorizzazione ad agire per conto dell'utente per inviare le informazioni sulle metriche del sistema operativo ai CloudWatch registri. Concedi le autorizzazioni di Enhanced Monitoring utilizzando un ruolo AWS Identity and Access Management (IAM). È possibile creare questo ruolo quando si abilita il monitoraggio avanzato o lo si crea in anticipo.
Argomenti
Creazione del ruolo IAM quando si attiva Enhanced Monitoring
Quando si attiva Enhanced Monitoring nella console RDS, Amazon RDS è possibile creare il ruolo IAM necessario. Il ruolo è denominato rds-monitoring-role. RDS utilizza questo ruolo per l'istanza database specificata, la replica di lettura o il cluster di database Multi-AZ.
Per creare il ruolo IAM quando si attiva Enhanced Monitoring
-
Segui la procedura riportata in Attivazione e disattivazione del monitoraggio avanzato.
-
Imposta Ruolo di monitoraggio su Predefinito nel passaggio in cui si sceglie un ruolo.
Creazione del ruolo IAM prima di abilitare Enhanced Monitoring
È possibile creare il ruolo richiesto prima di abilitare Enhanced Monitoring. Quando si abilita Enhanced Monitoring, specifica il nome del nuovo ruolo. Si deve creare questo ruolo necessario se si abilita il monitoraggio avanzato utilizzando AWS CLI oppure l'API RDS.
L'utente che abilita il monitoraggio avanzato deve ricevere l'autorizzazione PassRole. Per ulteriori informazioni, consulta l'Esempio 2 in Concessione a un utente delle autorizzazioni per il trasferimento di un ruolo a un AWS servizio nella Guida per l'utente IAM.
Per creare un ruolo IAM per Amazon RDS Enhanced Monitoring
-
Apri la console IAM all'indirizzo
. https://console.aws.amazon.com -
Nel pannello di navigazione, seleziona Roles (Ruoli).
-
Selezionare Create role (Crea ruolo).
-
Scegliere la scheda Servizio AWS quindi seleziona RDS dall’elenco di servizi.
-
Scegli RDS - Enhanced Monitoring (RDS - Monitoraggio avanzato), quindi seleziona Next (Avanti).
-
Assicurati che le politiche di autorizzazione mostrino Amazon RDSEnhanced MonitoringRole, quindi scegli Avanti.
-
In Nome ruolo, immetti un nome per il ruolo. Ad esempio, specifica
emaccess.L'entità affidabile per il tuo ruolo è il AWS servizio monitoring.rds.amazonaws.com.
-
Scegli Crea ruolo.
Attivazione e disattivazione del monitoraggio avanzato
Puoi gestire il monitoraggio avanzato utilizzando l'API, o RDS. Console di gestione AWS AWS CLIÈ possibile impostare granularità diverse per la raccolta delle metriche su ogni cluster di database. È inoltre possibile attivare il monitoraggio avanzato per un cluster di database esistente dalla console.
È possibile attivare Monitoraggio avanzato quando si crea un cluster o una replica di lettura oppure quando si modifica un cluster. Se si modifica un’istanza database o un cluster di database per attivare il monitoraggio avanzato, non è necessario riavviare l’istanza database per rendere effettive le modifiche.
È possibile abilitare il monitoraggio avanzato nella console RDS quando si esegue una delle seguenti operazioni nella pagina Databases (Database):
-
Creazione di un cluster: scegli Create database (Crea database).
-
Creazione di una replica di lettura: scegli Actions (Operazioni), quindi Create read replica (Crea replica di lettura).
-
Modifica di un’istanza database o di un cluster di database : scegli Modifica.
Nota
Quando abiliti il monitoraggio avanzato per un cluster di database, non è possibile gestire il monitoraggio avanzato per singole istanze database all’interno del cluster.
Se gestisci il monitoraggio avanzato per singole istanze database in un cluster di database e la granularità è impostata su valori diversi per istanze diverse, il cluster di database è eterogeneo rispetto al monitoraggio avanzato. In questi casi, non è possibile modificare il cluster di database per gestire il monitoraggio avanzato a livello di cluster.
Per attivare o disattivare Monitoraggio avanzato nella console RDS
-
Scorri fino a Additional configuration (Configurazione aggiuntiva).
-
In Monitoraggio, scegli Abilita monitoraggio avanzato per , il cluster di database o la replica di lettura. L’abilitazione del monitoraggio avanzato a livello di cluster consente di gestire le impostazioni e le opzioni del monitoraggio avanzato a livello di cluster. Le impostazioni a livello di cluster si applicano a tutte le istanze database del cluster. Deseleziona l’opzione per disabilitare il monitoraggio avanzato a livello di cluster. Successivamente potrai modificare le impostazioni del monitoraggio avanzato per le singole istanze database del cluster.
Nella pagina Crea database, puoi scegliere di attivare il monitoraggio avanzato a livello di cluster.
Se non abiliti il monitoraggio avanzato durante la creazione di un cluster, puoi modificare il cluster nella pagina Modifica il cluster DB.
Nota
Non è possibile gestire il monitoraggio avanzato per una singola istanza database in un cluster di database che ha già il monitoraggio avanzato gestito a livello di cluster.
-
Non è possibile scegliere di gestire il monitoraggio avanzato a livello di cluster se il cluster è eterogeneo rispetto al monitoraggio avanzato. Per gestire il monitoraggio avanzato a livello di cluster, si modificano le impostazioni di monitoraggio avanzato per ogni istanza in modo che corrispondano. Ora è possibile scegliere di gestire il monitoraggio avanzato a livello di cluster quando si modifica il cluster.
-
Imposta la proprietà Monitoring Role sul ruolo IAM che hai creato per consentire ad Amazon RDS di comunicare con Amazon CloudWatch Logs per te, oppure scegli Default per fare in modo che RDS crei un ruolo per te denominato.
rds-monitoring-role -
Impostare la proprietà Granularità sull’intervallo, in secondi, tra i punti quando le metriche vengono raccolte per l’istanza database, il cluster di database, o la replica di lettura. La proprietà Granularity (Granularità) può essere impostata su uno dei valori seguenti:
1,5,10,15,30oppure60.L'intervallo più veloce in cui la console RDS si aggiorna è ogni 5 secondi. Se si imposta la granularità su 1 secondo nella console RDS, vengono comunque visualizzati parametri aggiornati solo ogni 5 secondi. Puoi recuperare gli aggiornamenti dei parametri in 1 secondo utilizzando Logs. CloudWatch
Per attivare il monitoraggio avanzato utilizzando i comandi seguenti AWS CLI, impostate l'--monitoring-intervalopzione su un valore diverso da 0 e impostate l'--monitoring-role-arnopzione sul ruolo in cui avete creato. Creazione di un ruolo IAM per Enhanced Monitoring
L'opzione --monitoring-interval specifica l'intervallo, in secondi, tra i punti quando vengono raccolti i parametri di monitoraggio avanzato. I valori validi per l'opzione sono 0, 1, 5, 10, 15, 30 e 60.
Per disattivare il monitoraggio avanzato utilizzando il AWS CLI, imposta l'--monitoring-intervalopzione su 0 in questi comandi.
Esempio
Nell'esempio seguente viene attivato il monitoraggio avanzato per un'istanza database:
Per Linux, macOS o Unix:
aws rds modify-db-instance \ --db-instance-identifiermydbinstance\ --monitoring-interval30\ --monitoring-role-arnarn:aws:iam::123456789012:role/emaccess
Per Windows:
aws rds modify-db-instance ^ --db-instance-identifiermydbinstance^ --monitoring-interval30^ --monitoring-role-arnarn:aws:iam::123456789012:role/emaccess
Esempio
Nell’esempio seguente si attiva il monitoraggio avanzato per un cluster di database:
Per Linux, macOS o Unix:
aws rds modify-db-cluster \ --db-cluster-identifiermydbinstance\ --monitoring-interval30\ --monitoring-role-arnarn:aws:iam::123456789012:role/emaccess
Per Windows:
aws rds modify-db-cluster ^ --db-cluster-identifiermydbinstance^ --monitoring-interval30^ --monitoring-role-arnarn:aws:iam::123456789012:role/emaccess
Esempio
Nell'esempio seguente viene attivato il monitoraggio avanzato per un cluster di database Multi-AZ:
Per Linux, macOS o Unix:
aws rds modify-db-cluster \ --db-cluster-identifiermydbcluster\ --monitoring-interval30\ --monitoring-role-arnarn:aws:iam::123456789012:role/emaccess
Per Windows:
aws rds modify-db-cluster ^ --db-cluster-identifiermydbcluster^ --monitoring-interval30^ --monitoring-role-arnarn:aws:iam::123456789012:role/emaccess
Per attivare il monitoraggio avanzato utilizzando l'API RDS, imposta il parametro MonitoringInterval su un valore diverso da 0 e imposta il parametro MonitoringRoleArn sul ruolo creato in Creazione di un ruolo IAM per Enhanced Monitoring. Imposta questi parametri nelle seguenti operazioni:
Il parametro MonitoringInterval specifica l'intervallo, in secondi, tra i punti quando vengono raccolti i parametri di monitoraggio avanzato. I valori validi sono 0, 1, 5, 10, 15, 30 e 60.
Per disattivare il monitoraggio avanzato utilizzando l'API RDS, imposta MonitoringInterval su 0.
Protezione dal problema del "confused deputy"
Con “confused deputy” si intende un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire una certa operazione può costringere un’entità con più privilegi a eseguire tale operazione. Nel AWS, l'impersonificazione tra servizi può portare alla confusione del vicesceriffo. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l’accesso alle risorse del tuo account. Per ulteriori informazioni, consulta Problema del "confused deputy".
Per limitare le autorizzazioni relative alle risorse che Amazon RDS può fornire a un altro servizio, si consiglia di utilizzare le chiavi di contesto delle condizioni globali aws:SourceArn e aws:SourceAccount in una policy di attendibilità per il tuo ruolo di monitoraggio avanzato. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, devono utilizzare lo stesso ID account.
Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l'ARN completo della risorsa. Per Amazon RDS, imposta aws:SourceArn su arn:aws:rds:.Region:my-account-id:db:dbname
L'esempio seguente usa le chiavi di contesto delle condizioni globali aws:SourceArn e aws:SourceAccount in una policy di affidabilità per prevenire il problema del "confused deputy".
