AWS技术文档 – PCMAN的技术博客

WordPress系统从X86更换到ARM64（Graviton2）迁移建议

一、背景

开这个blog两年了，此前一直是以普通EC2方式运行Wordpress，并使用托管的RDS运行数据库。由于PHP的跨平台特性，这次升级配置转向了AWS自研的ARM架构的Graviton 2处理器的实例。

一、背景

AWS云上EC2默认使用比密码认证更安全的密钥登录方式，并且默认不允许SSH密码验证。于此同时，为了提升安全性，密钥一旦创建好只允许下载一次。一旦密钥被下载过，AWS控制台上不再提下载按钮。因此保存密钥就成了一项非常重要的工作。

在一台已经登录上的EC2上，可以访问EC2的元数据来获取当前EC2使用的是哪一个密钥。

curl http://169.254.169.254/latest/meta-data/public-keys/0/openssh-key

如果丢失了密钥，现有EC2将无法登录。

如果希望抢救这台EC2并更换为新的密钥，则可以采取如下的方法：

一、背景

为了查询在特定Region的某AWS服务IP地址段，可参考详细文档，包含Windows Powershell说明，请参考官方文档：

https://docs.aws.amazon.com/zh_cn/general/latest/gr/aws-ip-ranges.html

Yum 升级时候提示 “xxx packages excluded due to repository priority protections” 的解决办法

当在Amazon Linux 2上执行 yum update 时候，提示如下信息：

[root@ip-172-31-6-95 ~]# yum update
Loaded plugins: extras_suggestions, langpacks, priorities, update-motd
234 packages excluded due to repository priority protections
No packages marked for update
[root@ip-172-31-6-95 ~]#

这是由于yum组件的priority插件已经不在被使用。

配置托管的Site-to-site VPN服务（AWS海外区域）

请注意：不能用于搭建跨国通道。如果有跨境需求请申请合规的跨境专线。

构建Graviton2处理器的Amazon Linux 2平台的openswan 3.0软件包

一、背景

Openswan是用于构建site-to-site VPN服务的开源软件。Openswan历史较长，在主流Linux发行版上一般没有软件安装源，无法通过yum install一步执行安装。由此需要手工编译源代码，比较麻烦。

作为替代方案，可使用libreswan，这是一个从openswan 2.6版本fork出来的分支，在Amazon Linux 2（等同CentOS7）系统上有软件源，可以使用yum install libreswan安装。

However，libreswan的配置和参数与openswan有细微差别，例如不支持auth=esp等参数。由此，在与AWS托管的VPN网关对接时候，生成的配置文件还需要再做人工调整，以消除openswan和libreswan的配置差异。

由此本文将构建一个基于Graviton2处理器的Amazon Linux 2平台的openswan 3.0软件包，可用于在新的EC2上快速安装部署而无需从源代码编译。

使用Athena查询SNS发送SMS使用量报告

参考文档：

https://docs.aws.amazon.com/zh_cn/sns/latest/dg/sms_stats_usage.html

操作视频：

CLI下查询EC2配置规格的小工具

不熟悉AWS的EC2命名规范的情况下，在CLI下如何快速查询EC2规格？使用ec2-instance-selector小工具。

官网：https://github.com/aws/amazon-ec2-instance-selector

在MacOS下安装：

brew tap aws/tap
brew install ec2-instance-selector

一、背景

在CloudFormation中，如果采用hardcode方式嵌入了当前的AMI ID，那么在未来一段时间AMI版本升级后，旧的版本就会过期，导致新创建的环境都必须再次运行yum update进行版本升级。同时，当AMI版本达到一定时间后，因为版本较旧存在安全隐患，可能会下架无法调用，这时候CloudFormation就失效了不能在运行。由此，需要一个在CloudFormation中能使用调用到最新AMI的办法。

本文将分别介绍在AWS CLI下调用最新AMI ID和在CloudFormation中调用System Manager查询的方法。

在Windows Server 2019 (1809)上启用WSL运行Ubuntu

一、背景

在Windows10上可以使用WSL和新的Terminal直接运行Linux，同时，还可以通过Windows Store在线商店安装需要的Linux发行版。但在Windows Server上，没有在线商店可用。因此，安装方法可以参考如下。

首先检查确认版本高于 Windows Server 2019 (version 1709) 版本。例如EC2上当前是1809版本。此外，系统版本低于1903是不支持WSL2的，只有WSL1可用。

使用IAM创建日常Admin账户并设置留底账户

一、背景

当系统规模不大时候，通常一个AWS Account（账户ID是12位数字）只有几个高权限管理员负责云平台运维，此时可能大家共享同一个登录用户名，由此带来审计不便，且存在安全风险。

由此，可考虑将根账户（root账户）或者一个最高权限的IAM用户作为留底账户保护起来，并额外创建几个新的管理员账号下发给团队。同时，新创建的管理员账号对留底账号和其他管理员账号没有修改权限，以避免各自串通和干扰，确保各自的独立性。

通过JDBC驱动/Python boto3 SDK调用Athena查询数据

一、通过JDBC使用SQL Workbench J工具连接

从官网下载：https://www.sql-workbench.eu/downloads.html

从本实验的镜像下载：https://lxy-sa-software.s3.cn-north-1.amazonaws.com.cn/Workbench-Build127-with-optional-libs.zip

注意，运行环境需要Java。

为Aurora MySQL启用审计日志（Audit Log）

一、背景

在数据库RDS创建界面中，点击Addional额外设置之后可以展开日志设置，有四个选项，分别是：

Select the log types to publish to Amazon CloudWatch Logs：

Audit log
Error log
General log
Slow query log

这几个选项打开后，Cloudwatch会输出General log和Error log，可以看到失败的登录记录，但是无法看到Audit log，也就是无法看到每一条SQL查询、更新级别的日志。

这是由于，RDS日志需要额外打开选项。

Category: AWS技术文档

WordPress系统从X86更换到ARM64（Graviton2）迁移建议

一、背景

使用EC2 Userdata为丢失密钥的EC2更换密钥

一、背景

查询在特定Region的某AWS服务IP地址段

一、背景

Yum 升级时候提示 “xxx packages excluded due to repository priority protections” 的解决办法

配置托管的Site-to-site VPN服务（AWS海外区域）

构建Graviton2处理器的Amazon Linux 2平台的openswan 3.0软件包

一、背景

使用Athena查询SNS发送SMS使用量报告

使用Nginx做TCP转发

使用SNS服务发送SMS短信到手机（海外区域）

CLI下查询EC2配置规格的小工具

在CLI和CloudFormation中使用最新AMI

一、背景

在Windows Server 2019 (1809)上启用WSL运行Ubuntu

一、背景

使用IAM创建日常Admin账户并设置留底账户

一、背景

通过JDBC驱动/Python boto3 SDK调用Athena查询数据

一、通过JDBC使用SQL Workbench J工具连接

为Aurora MySQL启用审计日志（Audit Log）

一、背景