AWS Notes

Разработчик добавляет новый параметр в CI/CD пока девопс в отпуске (осторожно, больно смотреть).

#пятничное

​​How to use LAG (Logically Air-Gapped) AWS Backup:

https://aws.amazon.com/blogs/storage/building-cyber-resiliency-with-aws-backup-logically-air-gapped-vault/

• Fast recovery time due to ability to share with RAM
• Auto-lock in compliance mode with AWS-owned key encryption

#Backup

Open Source: Sentry — вычёркиваем.

https://blog.sentry.io/sentry-is-now-fair-source/

#OpenSource

AWS IPv6 Learning Path

1️⃣ IPv6 Fundamentals and VPC Connectivity

https://explore.skillbuilder.aws/learn/course/20489

Foundational-level course covering IPv6 addressing, Amazon VPC IPv6 support, and VPC connectivity options using IPv6.

2️⃣ IPv6 Application Networking and Internet Edge Connectivity

https://explore.skillbuilder.aws/learn/course/20488

Intermediate-level course on IPv6 for application networking, containers and serverless workload deployments, and AWS edge services.

3️⃣ IPv6 Design and Build Global IPv6 Networks on AWS

https://explore.skillbuilder.aws/learn/course/20499

Intermediate-level course to learn about IPv6 network design, hybrid and global connectivity, and IPv6 security and monitoring.

#IPv6

AWS з нуля українською

https://www.youtube.com/watch?v=c-s8F0hyD2o&list=PLiv5DsFFzt7T_Ca2iuBBWNxuzolJKnTOM&index=5

#video #courses

Как перенести AWS аккаунт из одной AWS Organization в другую.

https://docs.aws.amazon.com/organizations/latest/userguide/orgs_account_migration.html

#Organizations

Заказчик не хочет выполнять взятые на себя финансовые обязательства, подвергая сомнению функциональные требования и сроки выполнения проекта перед завтрашним демо.

#пятничное

В сердцах каждого амазоновца:

Пожалуйста, и Chime тоже, ну, пожалуйста!

Jeff Barr

After giving it a lot of thought, we made the decision to discontinue new access to a small number of services, including AWS CodeCommit.

While we are no longer onboarding new customers to these services, there are no plans to change the features or experience you get today, including keeping them secure and reliable.

We also support migrations to other AWS or third-party solutions better aligned with your evolving needs. Keep the feedback coming. We’re always listening.

The services I'm referring to are: S3 Select, CloudSearch, Cloud9, SimpleDB, Forecast, Data Pipeline, and CodeCommit.

https://x.com/jeffbarr/status/1818461689920344321

Student SCP policy — политика для защиты аккаунтов, предназначенных для изучения AWS.

Покрыты все нужные сервисы, запрещены неадекватные действия по биллингу, запрещены действия, которые могут иметь долгосрочный и неотвратимый характер.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "StudentSCPpolicy",
      "Effect": "Deny",
      "Action": [
        "athena:CreateCapacityReservation",
        "aws-marketplace:AcceptAgreementRequest",
        "aws-marketplace:CreateAgreementRequest",
        "aws-marketplace:CreatePrivateMarketplaceRequests",
        "aws-marketplace:Subscribe",
        "backup:CreateLogicallyAirGappedBackupVault",
        "backup:PutBackupVaultLockConfiguration",
        "bedrock:CreateFoundationModelAgreement",
        "bedrock:CreateProvisionedModelThroughput",
        "cloudfront:CreateSavingsPlan",
        "devicefarm:PurchaseOffering",
        "directconnect:ConfirmCustomerAgreement",
        "dynamodb:PurchaseReservedCapacityOfferings",
        "ec2:AcceptReservedInstancesExchangeQuote",
        "ec2:CreateCapacityReservation",
        "ec2:CreateCapacityReservationFleet",
        "ec2:CreateReservedInstancesListing",
        "ec2:LockSnapshot",
        "ec2:PurchaseCapacityBlock",
        "ec2:PurchaseHostReservation",
        "ec2:PurchaseReservedInstancesOffering",
        "ec2:PurchaseScheduledInstances",
        "eks:CreateEksAnywhereSubscription",
        "elasticache:PurchaseReservedCacheNodesOffering",
        "elemental-appliances-software:CreateOrderV1",
        "elemental-appliances-software:SubmitOrderV1",
        "es:PurchaseReservedElasticsearchInstanceOffering",
        "es:PurchaseReservedInstanceOffering",
        "freertos:CreateSubscription",
        "glacier:CompleteVaultLock",
        "glacier:PurchaseProvisionedCapacity",
        "groundstation:ReserveContact",
        "iottwinmaker:UpdatePricingPlan",
        "iq:ApprovePaymentRequest",
        "mediaconnect:PurchaseOffering",
        "medialive:PurchaseOffering",
        "memorydb:PurchaseReservedNodesOffering",
        "organizations:LeaveOrganization",
        "organizations:DeleteOrganization",
        "organizations:RemoveAccountFromOrganization",
        "outposts:CreateOrder",
        "panorama:ProvisionDevice",
        "quicksight:Subscribe",
        "quicksight:UpdateSPICECapacityConfiguration",
        "rbin:LockRule",
        "rds:PurchaseReservedDBInstancesOffering",
        "redshift:AcceptReservedNodeExchange",
        "redshift:PurchaseReservedNodeOffering",
        "route53domains:AcceptDomainTransferFromAnotherAwsAccount",
        "route53domains:RegisterDomain",
        "route53domains:RenewDomain",
        "route53domains:TransferDomain",
        "route53domains:TransferDomainToAnotherAwsAccount",
        "s3:PutBucketObjectLockConfiguration",
        "s3:PutObjectLegalHold",
        "s3:PutObjectRetention",
        "s3-object-lambda:PutObjectLegalHold",
        "s3-object-lambda:PutObjectRetention",
        "savingsplans:CreateSavingsPlan",
        "shield:CreateSubscription",
        "snowball:CreateJob",
        "snowball:CreateLongTermPricing"
      ],
      "Resource": "*"
    }
  ]
}

Student SCP policy не имеет ограничений на адекватные действия и создание любых ресурсов, что могут потребоваться для изучения. Поэтому предполагается обязательная настройка AWS Budgets и алертов.

Если требуется более жёсткие ограничений, то нужно использовать Allow List Approach — вместо запрещения проблемных лишь разрешать нужные.

#security #organizations #scp

#машины_aws

Этой ночью, AWS Kinesis снова отстрелил многим чресла в us-east-1. Практически так же, как 4 года назад. По этому поводу сделаю пару замечаний.

Во-первых - не используйте us-east-1. Это регион-страдалец, там всегда что-то взрывается раз в год. Пощупать экспериментальные сервисы первым того не стоит... Впрочем вы и без меня это знаете.

Во-вторых, давать леща за инциденты нельзя. А вот давать леща за неисполнение incident follow up'ов - вполне себе можно и нужно. Следите за руками.

В 2020, когда случился инцидент, AWS поставил себе задачу разделить Kinesis на две изолированных группых сервисов, иными словами, сделать "внутренний" Kinesis.

We will also move a few large AWS services, like CloudWatch, to a separate, partitioned front-end fleet. (с) из пост-мортема

Делается это для того, чтобы внутренние проблемы сервисов не били по внешним потребителям напрямую, потому что потребители работают с абстракциями - ну давайте честно, кто еще знает, что Cognito использует Kinesis под капотом? - и знать внутренности не должны.

Однако спустя почти 4 года, мы имеем отказ клиентских сервисов по подозрительно схожей причине, более того, "клиентский" Kinesis тоже пятисотил. Это говорит о том, что:
- либо в общей структуре есть большой архитектурный огрех, который не решается дублированием сервиса для внутренних нужд
- либо, что еще хуже, AWS не исполнил обещание после инцидента.

За второе надо бить палками, а так же отдавать айтишников на массовые расстрелы, потому что задача каждого разбора полетов не допустить такой же инцидент в будущем.

Graviton виртуалки теперь тоже умеют в Hybernation.

https://aws.amazon.com/about-aws/whats-new/2024/07/aws-graviton-based-ec2-instances-hibernation

Ещё один стыд длиной в 6 лет закончился:

https://aws.amazon.com/blogs/aws/new-hibernate-your-ec2-instances/

#EC2

Тем, кто живёт в Германии и до сих пор не освоил смартфон имеет карточки, теперь тоже можно крутить AWS.

https://aws.amazon.com/de/about-aws/whats-new/2024/07/aws-account-using-bank-account-germany/

Update — хорошо лежим , уже 11 часов:

We will provide an update on our continued mitigation efforts by 21:00 UTC, or sooner if we have progress to share.


⚠️ Network Infrastructure - Issues accessing a subset of Microsoft services

Starting approximately at 11:45 UTC on 30 July 2024, a subset of customers may have experienced issues connecting to Microsoft services globally.

https://azure.status.microsoft/

Постоянно обсуждать факап CrowdStrike — это норм.

А вот какого рожна фронт шлёт файлы на бэк, чтобы тот сохранял на S3, вместо того, чтобы грузить напрямую через подписанные ссылки — не, ты что, времени нет, работать надо.

#design

Во-первых, список оказался неточным и неполным, переделаю.

Во-вторых, он слишком быстро пополняется.

Amazon CloudSearch — всё

Starting July 27, 2024, it is not possible to create new domains in AWS accounts that have not previously used CloudSearch.

AWS Cloud9 — всё

Starting July 29, 2024, it is not possible to create new environments in AWS accounts that have not previously used Cloud9, but there are no restrictions on accounts that have existing environments.

AWS CodeStar — всё

On July 31, 2024, we will discontinue support for creating and viewing AWS CodeStar projects. After July 31, 2024, you will no longer be able to access the CodeStar console or create new projects. However, the AWS resources created by CodeStar, including your source repos, pipelines, and builds, will be unaffected by this change and will continue to function. AWS CodeStar connections will not be impacted by this discontinuation.

#вернитебезоса

Вспомнить всех.

Закрытые AWS сервисы (полностью, приостановленные или будут закрыты):

2012

Amazon SimpleDB

2020

Amazon WorkSpaces Web
AWS Mobile Hub

2022

EC2-Classic

2023

Amazon Sumerian
AWS Data Pipeline

2024

Amazon Honeycode
AWS DeepLens
AWS OpsWorks for Puppet Enterprise
AWS OpsWorks Stacks
AWS IoT 1-Click
Amazon QLDB
Amazon Elastic Transcoder
AWS CodeCommit

При Безосе такого не было!

#AWS_history

AWS CodeCommit — всё.

Beginning on 06 June 2024, AWS CodeCommit ceased onboarding new customers. Going forward, only customers who have an existing repository in AWS CodeCommit will be able to create additional repositories.

This change should not impact your current workloads utilizing AWS CodeCommit. If you this is impacting your current workloads, please let us know. If you would like to use AWS CodeCommit in a new AWS account that is part of your AWS Organization, please let us know so that we can evaluate the request for allowlisting the new account.

https://repost.aws/questions/QUshILm0xbTjWJZSD8afYVgA/codecommit-cannot-create-a-repository

#CodeCommit

OpenTofu 1.8 с переменными в бэкенде

variable "aws_region" {
  default = "us-east-1"
}

terraform {
  backend "s3" {
    region = var.aws_region
  }
}

provider "aws" {
  region = var.aws_region
}

https://opentofu.org/blog/opentofu-1-8-0/

Проблема отсутствия очевидного функционала, убивающая каждого первого изучающего Terraform, оказывается, исправима.

#OpenTofu