Tag: Amazon EC2

本文向您展示了 Amazon DocumentDB 的入门操作，包括创建 EC2 实例、安装 mongo shell、创建 Amazon DocumentDB 集群、连接到集群以及通过执行一些查询在 Amazon DocumentDB 内部轻松插入和查询 JSON 文档。

精准医学是基于定量特征为个人量身定制的，这些特征包括基因组学、生活方式和环境。这门学科往往被视为人类健康下一波的驱动力。随着全民基因组测序和支持物联网的可穿戴设备等新计划和技术的出现，商业和公共部门的研究人员和临床医生如今可以获得先前无法取得的全新见解。

如今我们引入了在 AWS Snowball Edge 设备上运行的 EC2 实例！这些强化的设备具有 100TB 的本地存储空间，可用于在 Internet 连接受限或没有 Internet 连接的恶劣环境中收集和处理数据，然后再将经过处理的数据发送回 AWS 进行存储、聚合和详细分析。

以下博文的投稿者为 Ananth Vaidyanathan (EC2 Systems Manager 高级产品经理) 和 Rich Urmston (Pegasystems 公司云架构高级总监)，介绍了如何使用 EC2 Run Command 在不使用 SSH 的情况下管理大量 EC2 实例。 -Jeff 企业通常具有若干托管环境和成千上万的 Amazon EC2 实例。安全地管理系统非常重要，同时也要避免棘手的安全外壳 (SSH)。Run Command 是 Amazon EC2 Systems Manager 的一部分，可以让您以可控制和可审查的方式对实例 (或使用标签的实例组) 运行远程命令。这有效地提升了每天都要依赖 Run Command 服务的 Pega 云操作的效率。 您可以通过标准 IAM 角色和策略控制 Run Command 访问，定义文档以获取输入参数，控制用于返回命令输出的 S3 存储桶。您还可以与其他 AWS 账户共享文档或将文档公开。总而言之，Run Command 提供了一组很有用的远程管理功能。 优于 SSH Run […]

如果您和我一样，就会对人工智能 (AI)、机器学习 (ML) 和深度学习这些主题有极大兴趣和深感兴奋。AI、ML 和深度学习的应用越来越广泛，对我来说，这意味着艾萨克·阿西莫夫博士的科幻小说、《星球大战》中机器和医疗的进步，以及让柯克船长和他的《星际迷航》舰员能够“前往没有人去过的地方”的那些技术都可成为现实。 大多数对前述主题感兴趣的人都熟悉深度学习支持的 AI 和 ML 解决方案，如实现图像和视频分类的卷积神经网络、语音识别、自然语言接口和推荐引擎。但是，设置基础设施、环境和工具，让数据科学家、机器学习实践者、研究科学家和深度学习爱好者/拥护者能够深入钻研这些技术并不总是那么容易。大多数开发人员都渴望能够快速上手深度学习，从而使用深度学习技术来训练模型和开发解决方案。 因此，无论您是经验丰富的数据科学家，还是急切想在这方面入门的开发人员，我都乐意分享一些资源，帮助您快速构建深度学习解决方案。 深度学习资源 Apache MXNet 是 Amazon 选择的深度学习框架。借助强大的 Apache MXNet 框架和 NVIDIA GPU 计算，您可以在 AWS 云中方便地启动您的可扩展深度学习项目和解决方案。随着您开始探索 MxNet 深度学习，有很多自助教程和数据集可供您使用： 启动 AWS 深度学习 AMI：该指南可引导您完成基于 Ubuntu 启动 AWS 深度学习 AMI 的步骤 MXNet – 创建计算机视觉应用程序：该实践教程使用预构建的笔记本指导您完成使用神经网络实现计算机视觉应用程序来识别手写数字的整个过程 AWS 机器学习数据集： AWS 在您可以免费访问的 AWS Marketplace 中托管机器学习数据集。这些大型数据集可供任何人用来分析数据，而无需下载或存储这些数据。 预测和提取 – 学习使用预先训练的模型来进行预测：该实践课程将指导您借助预先训练的模型并使用完整 Imagenet 数据集来进行预测和特征提取。 AWS 深度学习 AMI […]

我很高兴地宣布，AWS 迎来了第 62 次降价，本次降价适用于在 EC2 上运行的 Microsoft SQL Server 标准版。 许多企业工作负载都在 Microsoft Windows 上运行，主要是在本地部署或企业数据中心。AWS 上提供了各种各样的服务，由我们覆盖全球的基础设施和合作伙伴生态系统提供支持，因此，我们认为它是构建、部署、扩展和管理 Windows 应用程序的最佳位置。Adobe、Pitney Bowes 和 DeVry University 等客户都已将核心生产 Windows Server 工作负载移到了 AWS。他们的应用程序囊括从 SharePoint 站点到自定义 .NET 应用程序和 SAP 的全部范围，且经常使用 SQL Server。 Microsoft SQL Server on AWS 运行在 EC2 Windows 实例上，并可为您的应用程序开发和迁移提供支持。通过它，您可以控制所有设置，就像在本地部署中运行关系数据库时控制设置一样，它支持 32 位和 64 位版本。 今天，我们将降低在 R4、M4、I3 和 X1 实例上运行的 EC2 上的 Microsoft […]

随着 AWS 的发展，我们不断寻求方法来让它更好地提供价值。我们与供应商合作降低成本，并且不断地探索能够以更加高效、更具成本效益的方式来构建硬件和软件的方法。除了定期和经常性的减价之外，我们还向客户提供了各种选项，可以帮助他们优化对 AWS 的使用。例如，预留实例 (首次发布于 2009 年) 与按需定价相比，使得 Amazon EC2 用户能够获得显著的折扣，并且在特定可用区中使用时可预留容量。我们的客户使用多种战略来购买和管理其预留实例。一些客户偏好进行预付从而得到更高的折扣；一些客户则偏好无预付款，不过折扣较低 (折扣仍然很可观)。介于这两者之间的客户则对只需部分预付款，即可享受到介于这两种选项的折扣感到非常满意。为了满足各种各样的偏好，我们为大部分最新一代的实例类型增加了 3 年无预付标准预留实例。我们还降低了无预付保留实例、可转换预留实例和通用 M4实例 (包括按需实例和预留实例) 的价格。这是我们的第 61 次 AWS 降价。详细信息见此处 (所有更改和降价都立即生效)： 最新 3 年标准预留实例的无预付款选项-我们以前提供的无预付款选项为 1 年期的标准预留实例。现在，我们面向 C4、M4、R4、I3、P2、X1 和 T2 标准预留实例增加了 3 年期的无预付选项。 无预付预留实例降价-我们降低了 C4、M4、R4、I3、P2、X1 和 T2 实例类型的无预付 1 年标准实例和 3 年可转换预留实例的价格，根据实例类型、操作系统和区域，降幅最高可达 17%。下面提供了在多个代表性区域中面向 Linux 的无预付预留实例的平均降价： 美国东部 (弗吉尼亚北部) 美国西部 (俄勒冈) 欧洲 (爱尔兰) 亚太地区 (东京) 亚太地区（新加坡） […]

我每个月都会多次在西雅图的执行简报中心与 AWS 客户畅谈。我会介绍我们的创新过程，并讨论如何根据客户的要求和反馈更好地制定每个 AWS 产品的路线图。一个很好的例子就是，在我们的努力下，AWS 已经成为 SAP 业务解决方案产品组合的理想平台。多年来，我们的客户向我们透露，他们在 AWS 中运行大规模 SAP 生产应用程序，而我们一直努力为他们提供旨在满足其工作负载的 EC2 实例。由于 SAP 安装始终是任务关键型应用产品，因此 SAP 对其产品可以在特定类型和大小的 EC2 实例上使用进行认证。我们直接与 SAP 合作以取得认证，并使 AWS 成为运行其产品的强大可靠的平台。下面快速回顾我们在这个领域的一些最重要的公告： 2012 年 6 月 – 我们扩大了在 AWS 上提供的经过 SAP 认证的解决方案系列。2012 年 10 月 – 我们宣布 SAP HANA 内存中数据库现在可以在 AWS 上开展生产运行。2014 年 3 月 – 我们宣布，SAP HANA 现在可以在具有高达 244 GB 内存的 cr1.8xlarge […]

信息安全现状 时钟进入到2017年，物联网安全，DDoS攻击和勒索软件被越来越多的国内外信息安全预测机构列为年度最大信息安全威胁。上周爆发的勒索软件WannaCry （又称作永恒之蓝）已席卷全球99个国家，让各类技术宅男们和信息安全的童鞋们又错过了一个美好的周末。尽管目前该病毒已被安全人员找到了阻止其传播的方法，但是类似的安全事件依然给我们敲响了云端安全运维的警钟。 WannaCry事件回顾，5月12日晚， WannaCry 蠕虫病毒在全球大肆爆发。据外媒报道，攻击在99个国家实施了超过75000次攻击。该攻击利用漏洞MS17-010中的某些版本的SMB服务器协议进行传播，利用Windows 445 端口的安全漏洞潜入电脑并对多种文件类型加密并使用户无法打开，攻击者称需支付比特币解锁，补丁程序已于2017年3月14日发布，但未打补丁的用户有可能遭受此次攻击。通过这个事件我们发现只要是购买正版操作系统并及时更新补丁的用户，都不会受到影响。永久解决办法有2个，1.开启windows的自动更新功能，将最新补丁打上； 2.对于部分比较老的windows系统可以手动下载更新包并安装。 这样的安全事件不是第一次也不会是最后一次，要确保我们的信息安全，需要做的事情有太多，比如完善的信息安全应对机制，一系列自动化运维工具或服务，坚决的执行能力以及定期的审核机制。如果你恰好开始关心信息安全，而我们又专业，不妨看看AWS是如何看待信息安全的。 AWS信息安全理念 数据属于谁？ 虽然是一个老生常谈的问题，但确实一个非常重要的问题，而且答案永远只有一个，数据属于客户。当你上云之后，如何确保你的数据真的属于你是很多客户评估是否上云时最纠结的问题！在AWS，你可以非常清晰的从上图中看到这个界限。所有操作系统以上（包括操作系统本身）的内容都是客户自己自主可控，AWS没有任何权限访问，同时如果你使用的是AWS提供的Windows或者Linux镜像，该镜像 的补丁机制是全球一致管理的，我们会从各个合作厂商那得到补丁，并第一时间更新到镜像里。如果是开篇提到的流氓攻击，在AWS上的客户可以不需要担心了，因为该补丁在镜像中自动更新了。 如何确保我在云上是安全的？ 如何数据安全可能是一个说上三天三夜都没法说完的话题，今天我们从AWS信息安全最佳实践出发，给大家从几个层面来分析信息安全的层级，并重点介绍如何帮助客户在理解理念之后的安全落地问题。首先我们可以看到在云上我们需要这么几个维度的安全，底层基础架构的安全，网络的安全，权限及审计的安全，服务本身的安全，事先预防等等。总之，信息安全从来都不是靠说的，而是靠做的，所以接下来我们给大家做一些简单示范，让你在使用AWS时更加得心应手。 底层基础架构的安全 熟悉AWS的同学可能知道，AWS底层的虚拟化平台使用的是Xen，套用一句官话，不管我们的工程师是多么的小心，我们依然需要时刻告知我们的客户对于AWS服务底层安全的疑虑，所以大家可以在以下链接找到关于Xen的信息安全公告，同时大家也可以从AWS信息安全白皮书中看到AWS如何对于底层基础架构的安全设计，限于篇幅的原因本文不作展开。 Xen Security Advisiories https://aws.amazon.com/cn/security/security-bulletins/ AWS Security Best Practices https://d0.awsstatic.com/whitepapers/aws-security-whitepaper.pdf 网络安全 上云的安全 当你的数据需要上云时，你有三种非常安全的方式来传输您的数据，通过TLS加密的HTTPS协议将数据直接通过互联网传输到S3， 建立专用VPN进行数据传输以及通过专线将AWS与您的数据中心打通，并将AWS纳入您现有的全球专线网络中，让你全球任何一个办公室或者数据中心都通过内网的方式随时的安全访问云端的数据或者系统，如同您多了一个拥有无限扩展能力的远端数据中心。 云上的安全 当您的数据或者系统已经部署在AWS上时，你可以通过上图的简单示意图来对您的系统进行网络隔离及控制。比如，你可以按照不同的应用划分不同的VPC，不同的VPC之间网络隔离，同时在同一个VPC内设置不同安全级别网络区域，如公有访问区，DMZ区，私有网络区。利用VPC内的免费防火墙工具安全组，网络ACL来对云端的机器及网段进行精细化控制。如图上的例子，你可以通过图形界面在安全组上关闭该机器137,139,445 端口就能轻松的规避本文开篇提到的流氓攻击。如果您确实需要开启这些端口，也可以在安全组内指定对具体的源IP开放端口，或者将这些机器放置在私有网段，当这些私有网段的机器需要访问互联网的某些站点进行补丁升级等操作时，通过NAT的方式允许VPC的出向流量。 如果您还需要对VPC内不同私有网段的机器访问进行更精细化控制，还可以通过另外一个免费的防火墙网络ACL来实现。 当您的网络与AWS云端VPC通过VPN或者专线联通时，你还可以通过路由表来控制您哪些数据中心的网段可以访问云端的哪些网段。 权限及审计安全 当你的业务上云后，你可能面临不同人员需要管理你云端资源，这些人可能包括，您公司的开发人员，运维人员，财务部，人事部以及您外部形形色色的服务供应商或者运维外包供应商，如何给予这些人员适当权限去访问他们需要访问的AWS资源以及事后审核这些人员的访问情况，是很多企业客户迫切需要解决问题。 AWS IAM不但可以轻松解决上述所有访问权限问题，还可以帮您打通绝大部分企业遇到的SSO问题，让你数据中心的AD或者第三方机构与AWS建立授权机制，当您的用户在本地AD通过验证后，直接访问AWS上的数据，无需重复创建用户。同时可以给所有IAM用户开启复杂密码功能，并强制用户每隔一段时间修改密码。 内审或者外审通常是一个企业每年必做的事情，在AWS只需开启CloudTrail服务就可以自动记录所有AWS资源的使用情况，下图是一个CloudTrail的简单示例，我们可以看到什么时间哪个用户对什么资源做了什么事情。 同时还可以进一步查看某个事件的详细信息，便于审核，如下图所示： 服务本身的安全机制 由于AWS服务众多，限于篇幅的原因，本文重点讲解AWS虚拟机(EC2)的安全，如您对其他服务也很感兴趣，欢迎阅读AWS安全白皮书。 AWS Security Best Practices https://d0.awsstatic.com/whitepapers/aws-security-whitepaper.pdf      Amazon EC2多层安全模型 Amazon EC2多层安全模型包含底层物理服务器的操作系统，虚拟操作系统或者客户操作系统，防火墙和签名的API调用。目标是防止EC2内的数据被未授权的系统或者用户访问，在不牺牲客户配置灵活性的时，尽最大限度保证EC2本身的安全。 Amazon EC2当前利用了一个AWS高度定制化的Xen […]

简介 AWS IAM（身份和访问管理服务）中的角色使您的应用程序在Amazon EC2上能够使用临时的安全凭证自动实现AWS服务的创建，发布和内容修改。使用这样的临时凭证是IAM的最佳做法，因为您不再需要在实例上维护一个或多个长期密钥。对EC2使用IAM角色也无需再使用必须手动或以编程方式管理的长期AWS访问密钥。 例如，应用程序必须通过AWS证书签署API请求。因此，如果您是应用程序开发人员，您需要一个策略来为EC2实例上运行的应用程序管理证书。您可以安全地将您的AWS证书分配至实例，从而允许这些实例上运行的应用程序使用您的证书签署请求，并保护其免受其他用户的影响。但是，要将凭证安全地分配至每项实例有一定难度，尤其是AWS以您的名义创建的实例，例如竞价型实例或Auto Scaling组中的实例。当您更换AWS证书时，您还必须能够更新每项实例上的证书。IAM角色能够委托授权以发出API请求，而不用创建并分配您的AWS证书。详细解决方案，请查阅文档适用于Amazon EC2的IAM角色。 之前，IAM角色只能在实例创建设置时添加，这导致了过去创建的实例和忘记添加IAM角色的实例无法使用IAM角色操作实例，从而被迫重新部署实例及应用程序。从现在开始，您可以通过将IAM角色附加到现有的尚未被角色附加的EC2实例，来使用AWS提供的临时安全证书操作EC2实例，您还可以随时替换附加到现有EC2实例的IAM角色。 适用范围 文中的操作步骤已于2017年2月23日验证通过，其中AWS CLI版本1.11.48，在AWS全球和AWS中国区均能正常使用。 解决方案 1.   创建IAM角色 2.   将IAM角色附加给现有EC2实例（最初没有IAM角色附加） 3.   更换附加到Amazon EC2的IAM角色 4.   移除附加到Amazon EC2的IAM角色 本文假设您具有创建IAM角色的权限，并具有调用EC2 API的权限。 AWS命令行操作步骤中所有出现的占位符{Some Words}，都应该替换为实际资源名称。 AWS控制台操作步骤 1.  打开EC2控制面板，并选择左侧边栏的“实例”。 2.  选择您的实例，依次点击上方的操作->实例设置->Attach/Replace IAM role 3.  打开IAM role下拉菜单，选择您想要附加给当前EC2的IAM角色，No Role代表不附加角色，选好后点击右侧的Apply按钮。选择并应用的过程实际上包含了：将IAM角色附加给现有EC2实例（最初没有IAM角色附加）；更换附加到Amazon EC2的IAM角色；移除附加到Amazon EC2的IAM角色。 4.  如果您选择了No Rule（即移除EC2上的IAM角色），会显示如下页面： 5.  如果您未作出有效的修改，会显示如下页面： 6.  如果您的修改有效，会显示如下页面： AWS命令行操作步骤 开始操作之前，请确保您的CLI版本大于等于1.11.48。如果您对当前自己的CLI版本有疑问，可以在命令行中执行以下命令进行版本查询： $aws –version 如果您已经有 pip 和支持的 Python 版本，则可以使用以下命令安装 […]