AWS Service Catalog và các dịch vụ liên quan tới IaC
Người dùng nội bộ cần tự tạo tài nguyên đã được phê duyệt mà không cần quyền quản trị rộng; AWS Service Catalog cung cấp portfolio gồm các product đã được phê duyệt cho nhu cầu này.
Phần 1 đưa tiêu chuẩn vào template, nhưng người dùng template vẫn cần quyền CloudFormation và quyền trên mọi dịch vụ mà template tạo ra. AWS Service Catalog giải quyết bài toán self-service: quản trị viên nhập CloudFormation template thành product, gom product vào portfolio và cấp quyền cho IAM user, group hoặc role. Template constraint thu hẹp giá trị được phép của tham số trong template (ví dụ chỉ một số EC2 instance type); launch constraint chỉ định IAM role mà Service Catalog dùng khi tạo product, nên người dùng cuối không cần quyền trực tiếp trên CloudFormation và các dịch vụ bên dưới. Mỗi lần người dùng tạo product, kết quả là một provisioned product, tức một CloudFormation stack.
Service Catalog, CodeDeploy và Control Tower thường xuất hiện cạnh CloudFormation nhưng giải quyết bài toán khác. Chọn từng mục để xem phạm vi sử dụng và phương án phù hợp với tình huống của MFTECH.
Cho phép nhân sự tự tạo các tài nguyên đã được phê duyệt (product từ CloudFormation template), với tham số bị giới hạn bằng template constraint và quyền tạo do launch constraint cung cấp.
Vì sao không chọn trong tình huống nàyMỗi lập trình viên MFTECH có account dev riêng và chi phí có thể tăng đột biến. Service Catalog chỉ quy định cái gì được tạo qua catalog; nó không theo dõi chi tiêu, không cảnh báo và không tự động phản ứng khi vượt ngân sách. Lambda tắt tài nguyên theo lịch ở từng account còn tăng thêm việc vận hành.
Phương án phù hợpAWS Budgets với ngưỡng cho từng account và budget action tự động áp dụng IAM policy hoặc SCP chặn tạo thêm tài nguyên khi vượt ngưỡng (xem bài IAM, Phần 4).
Các nội dung liên quan: AWS Budgets actions và Control Tower tại bài IAM, Phần 4; Global Accelerator tại bài Global Infrastructure, Phần 5.
- Cho nhân sự tự tạo tài nguyên đã phê duyệt mà không cần quyền trực tiếp trên dịch vụ: Service Catalog (product là CloudFormation template, template constraint giới hạn tham số, launch constraint cấp IAM role).
- Tự động chặn khi vượt ngân sách: AWS Budgets actions, không phải Service Catalog.
- Tạo account mới có guardrail và mạng dùng chung: Control Tower + VPC sharing qua RAM.
- CodeDeploy triển khai phiên bản ứng dụng; chia traffic blue/green giữa các Region không phụ thuộc DNS: Global Accelerator.
AWS Service Catalog and related IaC services
Internal users need to create approved resources themselves without broad admin permissions; AWS Service Catalog provides portfolios of approved products for that need.
Part 1 puts the standards into a template, but people who use the template still need CloudFormation permissions and permissions on every service the template creates. AWS Service Catalog solves self-service: administrators import a CloudFormation template as a product, group products into a portfolio, and grant access to IAM users, groups or roles. A template constraint narrows the allowed values of the template’s parameters (for example, only some EC2 instance types); a launch constraint specifies the IAM role Service Catalog assumes when it launches the product, so end users need no direct permissions on CloudFormation or the underlying services. Each launch produces a provisioned product, which is a CloudFormation stack.
Service Catalog, CodeDeploy and Control Tower often appear next to CloudFormation but solve different problems. Select each item to see what it is for and what fits the MFTECH situation.
Lets staff launch approved resources on their own (products built from CloudFormation templates), with parameters narrowed by template constraints and launch permissions provided by a launch constraint.
Vì sao không chọn trong tình huống nàyEach MFTECH developer has a dedicated dev account and spending can spike. Service Catalog only governs what is launched through the catalog; it does not track spending, alert or respond automatically when a budget is exceeded. A scheduled Lambda function in every account that stops resources adds more operational work.
Phương án phù hợpAWS Budgets with a threshold per account and a budget action that automatically applies an IAM policy or SCP blocking new resources when the threshold is crossed (see the IAM lesson, part 4).
Related lessons: AWS Budgets actions and Control Tower in the IAM lesson, part 4; Global Accelerator in the global infrastructure lesson, part 5.
- Letting staff launch approved resources without direct permissions on the services: Service Catalog (a product is a CloudFormation template, template constraints narrow parameters, a launch constraint supplies the IAM role).
- Blocking automatically when a budget is exceeded: AWS Budgets actions, not Service Catalog.
- New accounts with guardrails and shared networking: Control Tower + VPC sharing through RAM.
- CodeDeploy deploys application versions; splitting blue/green traffic between Regions without depending on DNS: Global Accelerator.