AWSPremiumSupport-CollectAWSGlueMetadata

Description

Il AWSPremiumSupport-CollectAWSGlueMetadata runbook raccoglie i metadati di configurazione per AWS Glue le tue risorse, inclusi database, crawler, job ETL, endpoint di sviluppo, trigger, flussi di lavoro e configurazioni di sicurezza. Il runbook scrive questi metadati in un report JSON nel bucket Amazon S3 che scegli. Il tuo Technical Account Manager (TAM) o Specialist Technical Account Manager (STAM) esamina il report come parte della revisione operativa. AWS Glue Questa revisione è una valutazione proattiva del vostro AWS Glue ambiente rispetto AWS alle migliori pratiche.

Come funziona

Un'applicazione Python raccoglie i metadati. AWS Glue L'applicazione viene eseguita su un'istanza Amazon EC2 temporanea. Il runbook crea questa istanza temporanea in un nuovo Amazon VPC isolato utilizzando un modello incorporato. AWS CloudFormation L'istanza Amazon EC2 viene eseguita su una sottorete privata con accesso a Internet tramite un gateway NAT (Network Address Translation). Il runbook accede AWS ai servizi AWS Glue, tra cui Amazon EC2 Systems Manager e Amazon S3, tramite endpoint Amazon VPC nella stessa regione. Il gateway NAT recupera i metadati dai bucket Amazon S3 associati alle tue risorse in altre regioni. AWS Glue AWS

Al termine del runbook, elimina lo CloudFormation stack e carica il report nel bucket Amazon S3 di tua scelta. Il runbook allega quindi il report al caso di supporto per questa revisione operativa. AWS Il file JSON si trova nella cartella principale del bucket Amazon S3. Contatta il tuo TAM o STAM se hai domande sulla revisione operativa e sui metadati raccolti.

Esegui questa automazione (console)

Tipo di documento

Automazione

Proprietario

Amazon

Piattaforme

/

Parametri del documento

Autorizzazioni IAM richieste per raccogliere AWS Glue metadati

L'applicazione di raccolta AWS Glue dati richiede le seguenti azioni per eseguire correttamente questo runbook e caricare il file nel bucket privato Amazon S3 di tua scelta. Un ruolo IAM concede automaticamente queste autorizzazioni all'istanza temporanea di Amazon EC2.

Autorizzazioni IAM richieste per eseguire questo runbook

Per eseguire questo runbook, l'utente IAM AutomationAssumeRole o il tuo utente IAM richiede le seguenti azioni. Queste autorizzazioni sono necessarie per creare un nuovo Amazon VPC temporaneo e l'istanza Amazon EC2 utilizzando. CloudFormation

La seguente politica di esempio mostra le autorizzazioni con privilegi minimi richieste per. AutomationAssumeRole SostituisciREGION, e con ACCOUNTID i tuoi valoriS3_BUCKET_NAME:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudFormationStackAccess",
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStackEvents",
                "cloudformation:DescribeStacks",
                "cloudformation:UpdateStack"
            ],
            "Resource": "arn:aws:cloudformation:REGION:ACCOUNTID:stack/AWSPremiumSupport-CollectAWSGlueMetadata-*/*"
        },
        {
            "Sid": "EC2NetworkingAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:AllocateAddress",
                "ec2:AssociateRouteTable",
                "ec2:AttachInternetGateway",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateInternetGateway",
                "ec2:CreateNatGateway",
                "ec2:CreateRoute",
                "ec2:CreateRouteTable",
                "ec2:CreateSecurityGroup",
                "ec2:CreateSubnet",
                "ec2:CreateTags",
                "ec2:CreateVpc",
                "ec2:CreateVpcEndpoint",
                "ec2:DeleteInternetGateway",
                "ec2:DeleteNatGateway",
                "ec2:DeleteRoute",
                "ec2:DeleteRouteTable",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteSubnet",
                "ec2:DeleteTags",
                "ec2:DeleteVpc",
                "ec2:DeleteVpcEndpoints",
                "ec2:DescribeAddresses",
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeNatGateways",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcs",
                "ec2:DetachInternetGateway",
                "ec2:DisassociateRouteTable",
                "ec2:ModifySubnetAttribute",
                "ec2:ModifyVpcAttribute",
                "ec2:RebootInstances",
                "ec2:ReleaseAddress",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RunInstances",
                "ec2:TerminateInstances"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "REGION"
                }
            }
        },
        {
            "Sid": "IAMRoleAccess",
            "Effect": "Allow",
            "Action": [
                "iam:AddRoleToInstanceProfile",
                "iam:AttachRolePolicy",
                "iam:CreateInstanceProfile",
                "iam:CreateRole",
                "iam:DeleteInstanceProfile",
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:GetInstanceProfile",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:PutRolePolicy",
                "iam:RemoveRoleFromInstanceProfile"
            ],
            "Resource": [
                "arn:aws:iam::ACCOUNTID:role/AWSPremiumSupport-CollectAWSGlueMetadata-*",
                "arn:aws:iam::ACCOUNTID:instance-profile/AWSPremiumSupport-CollectAWSGlueMetadata-*"
            ]
        },
        {
            "Sid": "PassRoleToEC2",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNTID:role/AWSPremiumSupport-CollectAWSGlueMetadata-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Sid": "S3BucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetAccountPublicAccessBlock",
                "s3:GetBucketAcl",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::S3_BUCKET_NAME"
        },
        {
            "Sid": "SSMAutomationAccess",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeInstanceInformation",
                "ssm:GetDocument",
                "ssm:GetParameters",
                "ssm:ListCommandInvocations",
                "ssm:ListCommands",
                "ssm:SendCommand"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "REGION"
                }
            }
        },
        {
            "Sid": "SupportCaseAccess",
            "Effect": "Allow",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:DescribeCases"
            ],
            "Resource": "*"
        }
    ]
}
        

Fasi del documento