Diagnóstico de optimización del entorno AWS - Verificación de mejores prácticas con Trusted Advisor

Descripción general de Trusted Advisor y las 5 categorías de diagnóstico

AWS Trusted Advisor es un servicio que diagnostica automáticamente el entorno AWS a la luz de las mejores prácticas. Las recomendaciones sirven de pista para encontrar oportunidades de reducción de costes, refuerzo de la seguridad y mejora de la disponibilidad. El diagnóstico se divide en 6 categorías, y aquí se presentan 5, excluida la excelencia operativa (Operational Excellence). En optimización de costes, se detectan los recursos sin uso o con baja utilización (EC2, RDS, EBS, Elastic IP y Redshift) y se presenta el importe concreto de la reducción. En seguridad, se comprueban la configuración pública de los buckets de S3, los puertos excesivamente abiertos en los grupos de seguridad, la falta de MFA en la cuenta raíz, la rotación de las claves de acceso de IAM, etc. En tolerancia a fallos, se comprueban la falta de instantáneas de EBS, la falta de configuración Multi-AZ en RDS, la distribución entre AZ de los grupos de Auto Scaling, etc. En rendimiento, se detectan la alta utilización de las instancias EC2, el margen de optimización de CloudFront, etc. En límites de servicio, se supervisa el porcentaje de uso de las cuotas de cada servicio y se emite una advertencia sobre los elementos que han alcanzado el 80% del límite.

Diferencias en el alcance de las verificaciones según el plan de soporte

El alcance de las verificaciones de Trusted Advisor varía según el plan de soporte. Con los planes Basic/Developer, solo están disponibles las 6 verificaciones de seguridad principales y las verificaciones de límites de servicio. Las verificaciones de seguridad principales son 6 elementos. Son los permisos de los buckets de S3, el acceso sin restricciones de los grupos de seguridad (0.0.0.0/0), el uso de IAM, el MFA de la cuenta raíz, las instantáneas públicas de EBS y las instantáneas públicas de RDS. Con los planes de soporte Business o superiores, se pueden usar todos los elementos de verificación, y también se pueden utilizar desde programas a través de AWS Support API. Como las verificaciones de optimización de costes indican el importe estimado de la reducción, sirven de base para estimar la rentabilidad de una actualización comparando el ahorro previsto con el coste del plan de soporte.

Práctica de las verificaciones de optimización de costes

Las verificaciones de optimización de costes de Trusted Advisor presentan recomendaciones junto con el importe concreto de la reducción. Se presentan los principales elementos de verificación y ejemplos típicos de detección. En las instancias EC2 con baja utilización, se detectan las instancias cuyo uso de CPU en los últimos 14 días ha sido del 10% o menos, y se recomienda reducir su tamaño o detenerlas. En las instancias de RDS inactivas, se detectan las instancias que no han tenido conexiones en los últimos 7 días. En las direcciones Elastic IP no asociadas, se detectan las EIP que no están asociadas a EC2 (por cada EIP sin usar se cobran aproximadamente 3.6 USD/mes). En los volúmenes de EBS sin usar, se detectan los volúmenes que no están conectados a ninguna instancia. En las recomendaciones de Savings Plans y Reserved Instance, se proponen planes de compra basados en los patrones de uso anteriores. Estos resultados de las verificaciones se pueden descargar como un archivo .xls y se pueden aprovechar como datos de entrada para las revisiones periódicas de costes.

Automatización e integración con Organizations

Gracias a la integración con EventBridge, Trusted Advisor permite detectar como eventos los cambios en los resultados de las verificaciones. Por ejemplo, cuando se detecta una nueva advertencia de seguridad, se puede enviar una notificación con SNS o ejecutar una acción de corrección automática con Lambda.

# Obtención de los resultados de las verificaciones de Trusted Advisor (planes Business/Enterprise)
aws support describe-trusted-advisor-checks \
  --language ja \
  --region us-east-1 \
  --query 'checks[?category==`cost_optimizing`].{id:id,name:name}'

# Obtención del resultado de una verificación concreta
aws support describe-trusted-advisor-check-result \
  --check-id Qch7DwouX1 \
  --language ja \
  --region us-east-1

Gracias a la integración con AWS Organizations, se pueden agregar de forma centralizada los resultados de Trusted Advisor de todas las cuentas en la vista de organización. Desde el panel de la cuenta de administración se puede comprobar de forma transversal qué recomendaciones tiene cada cuenta, y se pueden impulsar de forma eficiente la optimización de costes y la mejora de la seguridad de toda la organización. Tenga en cuenta que la API de Trusted Advisor solo está disponible en la región us-east-1.

Trusted Advisor Priority e integración con el TAM

Trusted Advisor Priority es una función disponible en el plan Enterprise Support y proporciona recomendaciones priorizadas seleccionadas por el gestor técnico de cuentas (TAM) de AWS. Muestra los riesgos de toda la organización por orden de prioridad, y permite abordar los elementos de mejora empezando por los de mayor impacto. Mientras que las verificaciones habituales de Trusted Advisor enumeran todos los elementos en una lista plana, en Priority el TAM evalúa la importancia teniendo en cuenta las características del entorno del cliente, y esto sirve de pista para decidir el orden de las acciones. Si se construye a través de EventBridge un flujo de trabajo de corrección automática con Lambda para los problemas detectados, se obtiene un mecanismo que corrige parte de ellos sin intervención humana. Algunos ejemplos de estas correcciones son la liberación de EIP sin usar y el bloqueo de buckets de S3 con acceso público.

Resumen - Directrices para aprovechar Trusted Advisor

AWS Trusted Advisor es un servicio que diagnostica automáticamente los costes, la seguridad, la tolerancia a fallos, el rendimiento y los límites de servicio del entorno AWS. Incluso con el plan Basic se pueden usar gratis las 6 verificaciones de seguridad principales, y con los planes Business o superiores pasan a estar disponibles todos los elementos de verificación y el acceso a la API. Los principales puntos de aprovechamiento son la presentación del importe concreto de la reducción mediante las verificaciones de optimización de costes, las advertencias anticipadas sobre los límites de servicio y la automatización mediante la integración con EventBridge. Se recomienda comprobar periódicamente los resultados de Trusted Advisor como datos de entrada para las revisiones mensuales de costes y las auditorías de seguridad trimestrales.