Продолжим серию по оптимизации расходов в AWS. Предыдущие посты –AWS: оптимизация расходов – покупка и анализ RDS Reserved Instances, AWS: Cost Explorer – проверка расходов на примере CloudWatch Logs, AWS: Cost optimization – обзор расходов на сервисы и стоимость трафика в AWS. Теперь, когда мы разобрались за что мы вообще платим в AWS – посмотрим,… Читать далее »
Продолжаем создавать Lambda-функцию для копирования тегов EC2 на EBS. В первой части – AWS: Lambda – копирование тегов EC2 на EBS, часть 1 – Python и boto3, мы написали Python-скрипт, который умеет получать список всех EC2 в регионе, и потом для каждого ЕС2 получает список всех его EBS, на которые копирует теги плюс добавляет один… Читать далее »
Есть кластер AWS Elastic Kubernetes Service, у которого есть несколько WorkerNode Group, которые созданы как AWS AutoScaling Groups, всё создаётся через eksctl, см. AWS Elastic Kubernetes Service: — автоматизация создания кластера, часть 2 — Ansible, eksctl. Для WorkerNode Group в конфигурации eksctl прописан набор тегов, которые позволяют проводить инвентаризацию сервисов: — apiVersion: eksctl.io/v1alpha5 kind: ClusterConfig… Читать далее »
Имеются у нас Github runners, которые запущены в виде подов в Kubernetes-кластере, см. Github: обзор Github Actions и деплой с ArgoCD. На них выполняеттся сборка docker-образов и их пуш в Docker Hub, а затем деплой приложения с Helm или ArgoCD. При первом запуске helm install в поде получаем ошибку “x509: certificate signed by unknown authority“:… Читать далее »
Если проверить любой AWS Application LoadBalancer с сертификатом из AWS Certificate Manager с настройками HTTPS Listener по-умолчанию – то получим уровень В, что, конечно, не слишком красиво: Основная “претензия” SSL Labs – поддержка версий TLS 1.0 и 1.1, которые уже считаются устаревшими. AWS LoadBalancer SecurityPolicy и версии TLS За поддерживаемые версии SSL/TLS в AWS отвечают… Читать далее »
Данный пост – не полноценный обзор возможностей Cost Explorer (а их много), но больше просто пример того, как с его помощью можно отследить расходы. В данном случае, вернувшись из отпуска обратил внимание, что за август существенно выросли расходы на CloudWatch – до 50 долларов в день (входит в Others на графике): Что бы узнать,… Читать далее »
AWS Lambda позволяет запускать код без необходимости создания и поддержки серверов, т.н. serverless approach, т.е. бессерверные решения. AWS Lambda сама определит количество необходимых мощностей – ЦПУ и памяти, которые необходимы для обработки поступающих запросов, и выполнит автоскейлинг мощностей. Код для запуска организовывается в lambda functions, а триггерится с помощью triggers. Результаты записываются в CloudWatch Logs.… Читать далее »
Утечка конфиденциальных данных, таких как пароли или RSA-ключи в репозиторий Github, даже в приватный – очень неприятное событие, и хотелось бы иметь представление о том, кто и что пушит в репозитории нашей Github-организации. Утилиты сканирования Для проверки репозиториев имеется достаточно много утилит: Gittyleaks – выглядит неплохо, но последнее обновление репозитория 2 года тому Repo Supervisor… Читать далее »
Для доступа к серверам баз данных, к которым нет доступа из мира (а так и должно быть – доступ только внутри VPC) Tableau предлагает использовать Tableau Bridge. Идея заключается в том, что мы устанавливаем Bridge внутри сети, из которой есть доступ к базам данных, а затем в datasource настраиваем доступ к базе как Private access.… Читать далее »
Private Hosted Zone в AWS Route53 позволяет ограничить доступ к DNS-записям домена, таким образом оградив её от атак типа DNS Enumeration, или DNS brute-force, когда атакующий перебирает доступные записи домена, после чего получает список ендпоинтов для проверок на уязвимости. Для подобных переборов существует множество готовых решения, например DNSEnum, DNSRecon, Fierce или даже обычный Nmap и… Читать далее »