一、背景
在某些环境内，需要为某个系统生成一个临时访问授权，例如某应用允许用户发起对S3存储桶的特定目录的写入操作，而且有超时时间，过期后失效。此时，可使用STS服务临时生成AK/SK密钥，然后将临时AK/SK作为应用程序上传时候调用的角色即可。
本文编写参考了这篇博客，并针对AWS中国区的IAM策略添加了aws-cn标签。
Continue reading “使用STS服务和STS Tag标签、通过AssumeRole方式为应用生成临时授权”Author: pcman
使用STS服务Assume为一个Role角色时候提示超过最大session时间的限制
使用sts服务assume为一个角色的时候，提示超过Session时间限制：
An error occurred (ValidationError) when calling the AssumeRole operation: The requested DurationSeconds exceeds the MaxSessionDuration set for this role使用命令行创建RDS不同版本
使用命令行（以及SDK）创建RDS MySQL或Aurora MySQL之前，首先要查询可用的版本。
Continue reading “使用命令行创建RDS不同版本”SageMaker新账号提升常用的Limit限制
新创建的AWS账号出于防恶意的角度，默认限制给的很低仅允许使用t3机型作为Notebook运行环境和推理节点。为进入正常业务使用，可能需要提升如下limit配额。
Continue reading “SageMaker新账号提升常用的Limit限制”EKS 101 & 201 动手实验合辑
EKS 1.30 版本 @2024-07 AWS Global区域测试通过
本套实验材料也托管在Github上。本文动手实验部分所采用的脚本，遇到引用Github content服务的，已经考虑了中国大陆访问Github困难，因此提供了额外的镜像便于完成实验和快速部署。
Continue reading “EKS 101 & 201 动手实验合辑”实验八、为VPC扩展IP地址并配置EKS Pod使用独立的IP地址段
EKS动手实验合集请参考这里。
EKS 1.30 版本 @2024-07 AWS Global区域测试通过
一、背景及网络场景选择
1、关于EKS的默认CNI
AWS EKS默认使用AWS VPC CNI（了解更多点这里），所有的Pod都将自动获得一个本VPC内的IP地址，从外部网络看Pod，它们的表现就如同一个普通EC2。这是AWS EKS默认的网络模式，也是强烈推荐的使用模式。
Continue reading “实验八、为VPC扩展IP地址并配置EKS Pod使用独立的IP地址段”EKS 101 动手实验（七）解决AWS中国区的EKS部署Container Insight从海外拉取镜像失败的问题
海外区使用AWS Client VPN设置超时时间主动断开服务
AWS Client VPN是用于海外员工访问海外AWS云上资源的主要方式。之前做过配置手册和效果演示视频两个素材，请点击这以上链接跳转。
AWS Client VPN按照连接的用户数和时长收费。AWS Client VPN默认24小时断开，并且此参数不支持在AWS控制台上调整。Anyway，此参数可以使用配置文件调整。方法如下。
Continue reading “海外区使用AWS Client VPN设置超时时间主动断开服务”AWS WAF已经为Java Spring漏洞提供防护
请参考AWS Managed Rules changelog 更新日志：
https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-changelog.html
Known bad inputs managed rule group 规则组说明：
无服务器直播方案部署手册补充版
AWS中国区提供了开箱即用的无服务器直播方案，其官方网址如下：
https://www.amazonaws.cn/solutions/serverless-video-streaming/?nc2=hqlsol_all
这个方案是基于CloudFormation的Quickstart快速部署，源代码参考这里。本文在官方部署手册基础上进行了简化和补充。
Continue reading “无服务器直播方案部署手册补充版”实验六、将IAM用户或角色授权为EKS集群管理员
EKS动手实验合集请参考这里。
EKS 1.30 版本 @2024-07 AWS Global区域测试通过
使用EKS服务过程中，经常出现创建EKS集群和管理EKS集群的不是一个人。由此会导致在AWS控制台上显示EKS服务不正常，无法获取有关配置。在AWS控制台上访问EKS服务时候，会提示错误信息如下：
Your current IAM principal doesn’t have access to Kubernetes objects on this cluster.
This might be due to the current IAM principal not having an access entry with permissions to access the cluster.EKS 101 动手实验（五）使用私有子网创建EKS
EKS动手实验合集请参考这里。
一、背景
在EKS教程和实验手册中，使用eksctl工具创建集群可以在几分钟内配置好一个EKS集群。但是默认情况下，eksctl将会通过Cloudformation创建一个全新的VPC，使用192.168.0.0/16的子网掩码，且Nodegroup位于Public Subnet公有子网。Nodegroup和pod并未能落在现有VPC内，也未能使用Private Subnet。这样很可能不符合架构要求。
因此，在这种场景下，可在使用eksctl创建集群时候，增加参数使用EKS的Nodegroup创建在某几个私有子网。
二、操作方法
本文的内容已经在EKS 101 动手实验（一）创建EKS集群的章节三中第2个小标题做了介绍，因此这里不再赘述。请跳转阅读。
AWS Network Firewall (NFW) Demo
Continue reading “AWS Network Firewall (NFW) Demo”AWS Network Firewall 是一项新推出的 AWS 托管服务，可使您轻松地为所有 Amazon Virtual Private Cloud (VPC) 部署必要的网络保护。您只需单击几下鼠标就可以设置此服务，它随着网络流量而自动缩放，因此无需担心基础设施的部署和管理问题。AWS Network Firewall 适用于要检查和筛选 Amazon VPC 进出流量或 Amazon VPC 之间流量的客户。
AWS官网
GWLB+Checkpoint系列视频汇总
为IDC或私有VPC内的Storage Gateway使用VPC Endpoint访问S3
之前写过Blog和视频谈到了在内网环境的Storage Gateway的激活，在2021年Storage Gatway升级后，内网的激活流程和向导作出了改进，激活更为方便。
此外，如果安全上有需求要求所有流量在内网不能出现在公网，可以搭配专线或Site-to-site VPN，然后将所有流量发送到Interface类型的VPC Endpoint，即可实现所有流量处于内网的私密状态。
Continue reading “为IDC或私有VPC内的Storage Gateway使用VPC Endpoint访问S3”