在如今的云计算环境中，企业越来越依赖云平台来构建和管理基础设施。为了确保云资源的高效使用、降低成本、提升安全性并实现优化，AWS 提供了一系列强大的工具，如 Trusted Advisor、CloudTrail 和 CloudWatch。这些工具不仅能帮助用户监控和管理云资源，还能提供智能的建议和自动化的监控机制，从而帮助用户实现资源优化、合规性检查和性能提升。本文将探讨如何使用这三种工具来优化您的云环境，确保您的云基础设施在安全、成本和性能方面都处于最佳状态。我们Oncloud AI通过本文帮助深入探讨如何使用 Trusted Advisor、CloudTrail 和 CloudWatch 进行云优化。
值得信赖的顾问
- AWS Trusted Advisor 就像您的定制云专家，它可以帮助您按照最佳实践配置资源。
- Trusted Advisor 会检查您的 AWS 环境并寻找节省资金、提高系统性能和可靠性或帮助弥补安全漏洞的机会。
成本优化检查
- 低利用率 Amazon EC2 实例：检查过去 14 天内任何时间运行的 Amazon Elastic Compute Cloud (Amazon EC2) 实例，如果每日 CPU 利用率不超过 10% 且网络 I/O 在 4 天或更多天内不超过 5 MB，则会提醒您
- 未充分利用的 Amazon EBS 卷：检查 Amazon Elastic Block Store (Amazon EBS) 卷配置，并在卷未充分利用时发出警告
- 未关联的弹性 IP 地址：检查与正在运行的 Amazon Elastic Compute Cloud (Amazon EC2) 实例不关联的弹性 IP 地址 (EIP)
- Amazon RDS 空闲数据库实例：检查 Amazon Relational Database Service (Amazon RDS) 的配置，查找任何看似空闲的数据库实例。如果数据库实例长时间没有连接，您可以删除该实例以降低成本
性能检查
- 高利用率 Amazon EC2 实例：检查过去 14 天内任何时间运行的 Amazon Elastic Compute Cloud (Amazon EC2) 实例，如果 4 天或更多天的每日 CPU 利用率超过 90%，则会提醒您
- EC2 安全组中的规则数量过多：检查每个 Amazon Elastic Compute Cloud (EC2) 安全组是否存在过多的规则。如果安全组包含大量规则，则性能可能会下降
- 过度利用的 Amazon EBS 磁性卷：检查 Amazon Elastic Block Store (EBS) 磁性卷是否可能被过度利用，并可能从更高效的配置中受益
安全检查
- 安全组 – 特定端口不受限制：检查安全组中允许不受限制地访问（0.0.0.0/0）特定端口的规则
- Amazon EBS 公共快照：检查您的 Amazon Elastic Block Store (Amazon EBS) 卷快照的权限设置，并在任何快照被标记为公共时提醒您
- AWS CloudTrail 日志记录：检查您对 AWS CloudTrail 的使用情况。CloudTrail 通过记录有关账户上进行的 AWS API 调用的信息，提高了对 AWS 账户活动的可见性
容错检查
- Amazon EBS 快照：检查 Amazon Elastic Block Store (Amazon EBS) 卷的快照的使用期限（可用或正在使用）
- Amazon EC2 可用区余额：检查某个区域内各个可用区中 Amazon Elastic Compute Cloud (Amazon EC2) 实例的分布情况
- Amazon RDS 备份：检查 Amazon RDS DB 实例的自动备份
- Amazon RDS 多可用区：检查部署在单个可用区域中的数据库实例
- Amazon S3 存储桶日志记录：检查 Amazon Simple Storage Service (Amazon S3) 存储桶的日志记录配置
服务限制检查
- EBS 活动快照：检查使用量是否超过 EBS 活动快照限制的 80%
- EC2 弹性 IP 地址：检查使用量是否超过 EC2 弹性 IP 地址限制的 80%
- RDS DB 实例：检查使用量是否超过 RDS DB 实例限制的 80%
- VPC：检查使用量是否超过 VPC 限制的 80%
- VPC 互联网网关：检查使用量是否超过 VPC 互联网网关限制的 80%
亚马逊云踪迹
- AWS CloudTrail 是一项 AWS 服务，可帮助您实现 AWS 账户的治理、合规性以及运营和风险审计
- 用户、角色或 AWS 服务执行的操作将作为事件记录在 CloudTrail 中
- 创建 AWS 账户时，CloudTrail 已启用
- 您可以识别
- 谁或什么采取了何种行动
- 利用了哪些资源
- 事件发生的时间
- 帮助您分析和响应 AWS 账户中的活动的其他详细信息
- 每个区域可以创建 5 条路线（无法增加
云踪迹事件
- CloudTrail 中的事件是 AWS 账户中活动的记录
- 此活动可以是用户、角色或服务采取的可由 CloudTrail 监控的操作。
- CloudTrail 中可以记录两种类型的事件
- 管理活动
- 数据事件
- 默认情况下，跟踪记录管理事件，但不记录数据事件
- CloudTrail 不会记录所有 AWS 服务。某些 AWS 服务不启用所有 API 和事件的日志记录
管理活动
- 管理事件提供有关对 AWS 账户中的资源执行的管理操作的信息。这些操作也称为控制平面操作
- 例子
- 注册设备
- 配置路由数据规则
数据事件
- 数据事件提供有关在资源上或资源内执行的资源操作的信息。这些操作也称为数据平面操作。
- 数据事件通常是高容量活动
- 例子
- 创建跟踪时，Amazon S3 对象级 API 活动数据事件默认处于禁用状态。要记录 CloudTrail 数据事件，您必须明确将要收集活动的受支持资源或资源类型添加到跟踪中
洞察活动
- CloudTrail Insights 事件捕获您的 AWS 账户中的异常活动。
- 如果您启用了 Insights events，并且 CloudTrail 检测到异常活动，则 Insights events 会记录到您的跟踪目标 S3 存储桶中的其他文件夹或前缀中
CloudTrail 事件历史记录
- CloudTrail 事件历史记录提供了过去 90 天的 CloudTrail 事件的可查看、可搜索和可下载的记录。
- 您可以利用此历史记录了解 AWS 管理控制台、AWS SDK、命令行工具和其他 AWS 服务中您的 AWS 账户所执行的操作
加密
- 默认情况下，AWS CloudTrail 使用 Amazon S3 服务器端加密 (SSE) 对传输到您指定的 Amazon S3 存储桶的所有日志文件进行加密
- （可选）可以使用 AWS Key Management Service (AWS KMS) 密钥加密日志文件，为 CloudTrail 日志文件添加一层安全性
云监控
- Amazon CloudWatch 实时监控您的 Amazon Web Services (AWS) 资源以及您在 AWS 上运行的应用程序
- CloudWatch 主页会自动显示您使用的每个 AWS 服务的指标
- 您还可以通过在实例/服务器上安装 CloudWatch 代理来创建自定义仪表板以显示有关自定义应用程序的指标
- 您可以创建警报来监视指标并发送通知，或者在超出阈值时自动更改您正在监视的资源
- 例如，您可以监控 Amazon EC2 实例的 CPU 使用率和磁盘读写情况，然后使用这些数据确定是否应启动更多实例来处理增加的负载。您还可以使用这些数据停止使用率较低的实例以节省资金
- 借助 CloudWatch，您可以全面了解资源利用率、应用程序性能和运行状况
与 Cloud Watch 集成的 AWS 服务
- 亚马逊简单通知服务 (Amazon SNS)
- 亚马逊 EC2
- 自动扩展
- 亚马逊AWS CloudTrail
- AWS 身份和访问管理 (IAM)
Amazon Cloudwatch 的工作原理
- Amazon Cloudwatch 基本上是一个指标存储库
- AWS 服务（例如 Amazon EC2）将指标放入存储库，然后您根据这些指标检索统计数据
- 如果您将自己的自定义指标放入存储库，那么您也可以检索这些指标的统计信息
- 您可以使用指标来计算统计数据，然后在 CloudWatch 控制台中以图形方式呈现数据
- 您可以配置警报操作以在满足特定条件时停止、启动或终止 Amazon EC2 实例
- 此外，您还可以创建警报，以代表您启动 Amazon EC2 Auto Scaling 和 Amazon Simple Notification Service (Amazon SNS) 操作
Cloudwatch 概念
公制
- 指标是 CloudWatch 中的基本概念
- 指标表示发布到 CloudWatch 的一组按时间顺序排列的数据点
- 将指标视为需要监控的变量，将数据点视为该变量随时间变化的值
- 例如，特定 EC2 实例的 CPU 使用率是 Amazon EC2 提供的一项指标。数据点本身可以来自您从中收集数据的任何应用程序或业务活动
- 默认情况下，一些服务会为资源（例如 Amazon EC2 实例、Amazon EBS 卷和 Amazon RDS DB 实例）提供免费指标。您还可以为某些资源启用详细监控
警报
- 您可以创建一个 CloudWatch 警报来监控单个 CloudWatch 指标
- 警报根据多个时间段内指标或表达式相对于阈值的值执行一项或多项操作。
- 该操作可以是 Amazon EC2 操作、Amazon EC2 Auto Scaling 操作或发送到 Amazon SNS 主题的通知。
- 您还可以向 CloudWatch 仪表板添加警报并以直观的方式监控它们。
- 当仪表板上有警报时，警报处于“ALARM”状态时会变为红色，方便您主动监控其状态。
- 当警报由于状态改变而调用操作后，其后续行为取决于与警报关联的操作类型。
- 警报有以下可能的状态：
- 确定 — 指标或表达式在定义的阈值内。
- 警报 – 指标或表达式超出了定义的阈值。
- INSUFFICIENT_DATA – 警报刚刚启动，指标不可用，或者指标没有足够的数据来确定警报状态。
Oncloud AI作为AWS代理商，提供亚马逊云服务，支持亚马逊云服务器AWS代付、AWS迁移、AWS运维托管等服务，如有相关需求可联系Oncloud AI。
