AWS内部分享会
记录2023-03-03参加AWS 分享会相关内容
目录
[TOC]
Session Manager分享
需求
平衡费用/可靠性/审计功能/堡垒机
- 安全登录 仅放
egress:443 - 数据放置S3/CloudWatch, 可通过CloudTrail追溯
用户需求
通过低权限账号访问高权限账号的EC2
实现
通过AssumeRole的方式授权低权限账号可以访问高权限账号
优势
- 网络限制少, 仅需要
egress:443 - 权限可以通过
IAM全部限制 - 全链路加密
- 支持端口转发
不足
- ==硬伤==并不是
SSH协议, 无法基于SSH的审计 - 无法拷贝文件
- 前期设置很繁琐/复杂, 排查问题不便
- 目标EC2需要SSM Agent
- 绕开了VPN
Lambda分享
痛点/需求
- 触发条件不准确 - 经常误判
- 多云部署问题 - 增加学习成本/运维工作量
- 对有状态的服务的缩减操作 - 过于复杂的服务无法适应
优势
- 系统整体的Serverless服务化
- 基于业务维度的运维系统时间
- 自动化运维加持, 增加生产力
- 无服务架构, 大量降低运营成本
- 将精力重点全部放到业务流程上, 不必关注底层实现
EKS分享
云原生架构
- 潮汐现象严重(夜间用量大, 日间无用量)
- 难以扩容
- 生态不完善
- 需要了解K8S
- 成熟案例少
优势
- 架构简单
- 资源动态申请释放
- 存储计算分离
EKS容器可观测性系统解决方案
可观测性概念
整体分为三大板块: 指标/日志/链路追踪
指标
thanos方案/VictoriaMetircs方案
日志
ELK/EFK - 成本较高
Loki方案 - 成本低/可扩展性好/与Grafana直接关联
链路追踪
解决微服务多/调用链长/无法定位问题
jaeger方案
多Region备份方案
灾备方案:
- 冷备份
- 灯塔模式(pre-heating): 仅启动管理节点
- 热备份: 启动管理+少量计算节点
- 多活: 直接复刻现有生产环境
备案分享
ICP备案和公安备案
先进行ICP备案,
通过后30天内申请公安备案