本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # `AWSPremiumSupport-PostgreSQLWorkloadReview` **描述** `AWSPremiumSupport-PostgreSQLWorkloadReview`运行手册将捕获 Amazon Relational Database Service (Amazon RDS) PostgreSQL 数据库使用情况统计数据的多个快照。 支持 [主动式服务](https://aws.amazon.com/premiumsupport/technology-and-programs/proactive-services/)专家需要收集到的统计数据才能进行运营审查。统计数据使用一组自定义 SQL 和 Shell 脚本进行收集。这些脚本将下载到由本运行手册创建的临时亚马逊弹性计算云 (Amazon EC2) 实例。 AWS 账户 运行手册要求您使用包含用户名和密码键值对的 AWS Secrets Manager 密钥提供凭证。用户名必须具有查询标准 PostgreSQL 统计视图和函数的权限。 此运行手册 AWS 账户 使用 AWS CloudFormation 堆栈自动在您中创建以下 AWS 资源。您可以使用 CloudFormation 控制台来监控堆栈的创建。 + 虚拟私有云（VPC）和 Amazon EC2 实例在 VPC 的私有子网中启动，可选择使用 NAT 网关连接到互联网。 + 附加到临时 Amazon EC2 实例的 AWS Identity and Access Management (IAM) 角色，有权检索 Secrets Manager 密钥值。该角色还提供将文件上传到您选择的亚马逊简单存储服务 (Amazon S3) 存储桶的权限，也可以选择上传案例。 支持 + VPC 对等连接，允许在您的数据库实例和临时 Amazon EC2 实例之间建立连接。 + 附加到临时 VPC 的 Systems Manager、Secrets Manager 和 Amazon S3 VPC 端点。 + 包含已注册任务的维护时段，这些任务定期启动和停止临时 Amazon EC2 实例、运行数据收集脚本以及将文件上传到 Amazon S3 存储桶。还会为维护时段创建一个 IAM 角色，该角色提供执行已注册任务的权限。 运行手册完成后，将删除用于创建必要 AWS 资源的 CloudFormation 堆栈，并将报告上传到您选择的 Amazon S3 存储桶，也可以上传一个 支持 案例。 **注意** 默认情况下，将保留临时 Amazon EC2 实例的根 Amazon EBS 卷。您可以通过将 `EbsVolumeDeleteOnTermination` 参数设置为 `true` 来覆盖此设置。 **先决条件** + **Enterprise Support 订阅**此运行手册和主动式服务工作负载诊断与审查需要订阅 Enterprise Support。在使用此运行手册之前，请联系您的技术客户经理 (TAM) 或专家 TAM (STAM) 以获取相关说明。有关更多信息，请参阅[支持 主动服务](https://aws.amazon.com/premiumsupport/technology-and-programs/proactive-services/)。 + **账户和 AWS 区域 配额**请确保您尚未达到 Amazon EC2 实例的最大数量 VPCs ，也未达到您在使用本运行手册的账户和地区中可以创建的最大数量。如果您需要申请提高限制，请参阅[提高服务限制表](https://console.aws.amazon.com/support/home#/case/create?issueType=service-limit-increase/)。 + **数据库配置** 1. 您在 `DatabaseName` 参数中指定的数据库应配置 `pg_stat_statements` 扩展。如果您尚未在 `shared_preload_libraries` 中配置 `pg_stat_statements`，则必须编辑数据库参数组中的值并应用更改。更改参数 `shared_preload_libraries` 会要求您重启数据库实例。有关更多信息，请参阅 [Working with parameter groups](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_WorkingWithParamGroups.html)。将 `pg_stat_statements` 添加到 `shared_preload_libraries` 会增加一些性能开销。但这对于跟踪各个语句的表现很有用。有关 `pg_stat_statements` 扩展的更多信息，请参阅 [PostgreSQL 文档](https://www.postgresql.org/docs/10/pgstatstatements.html)。如果您未配置 `pg_stat_statements` 扩展，或者用于统计数据收集的数据库中不存在该扩展，则在操作审查中不会显示语句级别的分析。 1. 确保没有关闭 `track_counts` 和 `track_activities` 参数。如果这些参数在数据库参数组中关闭，则不会有意义的统计数据可用。更改这些参数需要重启数据库实例。有关更多信息，请参阅[使用 Amazon RDS for PostgreSQL 数据库实例上的参数](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Appendix.PostgreSQL.CommonDBATasks.Parameters.html)。 1. 如果关闭该`track_io_timing`参数，则操作审查中将不包括 I/O 级别统计信息。更改 `track_io_timing` 会要求您重启数据库实例，并且会产生额外的性能开销，具体取决于数据库实例的工作负载。尽管关键工作负载会有性能开销，但此参数提供了与每次查询 I/O 时间相关的有用信息。 **账单和费用** AWS 账户 将向您收取与临时的 Amazon EC2 实例、关联的 Amazon EBS 卷、NAT 网关以及此自动化运行期间传输的数据相关的费用。默认情况下，此运行手册会创建一个 `t3.micro` Amazon Linux 2 实例来收集统计数据。此运行手册在两个步骤之间启动和停止实例以降低成本。 **数据安全和治理**此运行手册通过查询 [PostgreSQL 统计视图和函数](https://www.postgresql.org/docs/current/monitoring-stats.html)来收集统计数据。确保 `SecretId` 参数中提供的凭证仅允许对统计视图和函数具有只读权限。作为自动化的一部分，收集脚本将上传到 Amazon S3 存储桶，并且可以位于 `s3://amzn-s3-demo-bucket/automation execution id/queries/`。 这些脚本收集的数据供 AWS 专家用来查看对象级别的关键绩效指标。该脚本收集诸如表名、架构名和索引名之类的信息。如果此类任何信息包含收入指标、用户名、电子邮件地址或任何其他个人身份信息等敏感信息，则我们建议您停止此工作负载审查。请联系您的 AWS TAM，讨论工作量审核的替代方法。 确保您获得必要的批准和许可，才能与之共享此自动化收集的统计数据和元数据 AWS。 **安全注意事项**如果您将 `UpdateRdsSecurityGroup` 参数设置为 `yes`，则运行手册会更新与您的数据库实例关联的安全组，以允许来自临时 Amazon EC2 实例私有 IP 地址的入站流量。 如果您将 `UpdateRdsRouteTable` 参数设置为 `yes`，则运行手册会更新与您的数据库实例运行所在的子网关联的路由表，以允许通过 VPC 对等连接流向临时 Amazon EC2 实例的流量。 **用户创建**要允许收集脚本连接到您的 Amazon RDS 数据库，您必须设置一个具有读取统计视图权限的用户。然后您必须将这些凭证存储在 Secrets Manager 中。我们建议为此自动化创建一个新的专门用户。创建单独的用户可让您审计和跟踪此自动化执行的活动。 1. 创建新用户。 `psql -h -p -U -c "CREATE USER PASSWORD '';"` 1. 确保该用户只能进行只读连接。 `psql -h -p -U -c "ALTER USER SET default_transaction_read_only=true;"` 1. 设置用户级别限制。 `psql -h -p -U -c "ALTER USER SET work_mem=4096;"` `psql -h -p -U -c "ALTER USER SET statement_timeout=10000;"` `psql -h -p -U -c "ALTER USER SET idle_in_transaction_session_timeout=60000;"` 1. 向新用户授予 `pg_monitor` 权限，使其能够访问数据库统计信息。（`pg_monitor` 角色是 `pg_read_all_settings`、`pg_read_all_stats` 和 `pg_stat_scan_table` 的成员。） `psql -h -p -U -c "GRANT pg_monitor to ;"` **此 Systems Manager Automation 向临时 Amazon EC2 实例配置文件添加的权限**以下权限已添加到与临时 Amazon EC2 实例关联的 IAM 角色。`AmazonSSMManagedInstanceCore` 托管策略还与 IAM 角色关联，以允许 Systems Manager 管理 Amazon EC2 实例。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "ec2:DescribeTags" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "s3:GetBucketLocation" ], "Resource": "arn:aws:s3:::amzn-s3-demo-bucket", "Effect": "Allow" }, { "Action": [ "s3:PutObject" ], "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/automation-execution-id/*", "Effect": "Allow" }, { "Action": [ "secretsmanager:GetSecretValue" ], "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:secret-id", "Effect": "Allow" }, { "Action": [ "support:AddAttachmentsToSet", "support:AddCommunicationToCase", "support:DescribeCases" ], "Resource": "*", "Effect": "Allow" } ] } ``` ------ **此 Systems Manager Automation 向临时维护时段添加的权限**以下权限将自动添加到与维护时段任务关联的 IAM 角色。维护时段任务启动、停止并向临时的 Amazon EC2 实例发送命令。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "ssm:GetAutomationExecution", "ssm:ListCommands", "ssm:ListCommandInvocations", "ssm:GetCommandInvocation", "ssm:GetCalendarState", "ssm:CancelCommand", "ec2:DescribeInstanceStatus" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "ssm:SendCommand", "ec2:StartInstances", "ec2:StopInstances", "ssm:StartAutomationExecution" ], "Resource": [ "arn:aws:ec2:us-east-1:111122223333:instance/temporary-instance-id", "arn:aws:ssm:*:*:document/AWS-RunShellScript", "arn:aws:ssm:*:*:document/AWS-StopEC2Instance", "arn:aws:ssm:*:*:document/AWS-StartEC2Instance", "arn:aws:ssm:*:111122223333:automation-execution/*" ], "Effect": "Allow" }, { "Condition": { "StringEquals": { "iam:PassedToService": "ssm.amazonaws.com" }, "ArnLike": { "iam:AssociatedResourceARN": "arn:aws:ssm:*:*:document/AWS-*" } }, "Action": "iam:PassRole", "Resource": "arn:aws:iam::111122223333:role/SSM-*", "Effect": "Allow" } ] } ``` ------ [运行此自动化（控制台）](https://console.aws.amazon.com/systems-manager/automation/execute/AWSPremiumSupport-PostgreSQLWorkloadReview) **文档类型** 自动化 **所有者** Amazon **平台** 数据库 **参数** + AutomationAssumeRole 类型：字符串 描述：（可选）允许 Systems Manager Automation 代表您执行操作 AWS Identity and Access Management (IAM) 角色的 Amazon 资源名称（ARN）。如果未指定角色，Systems Manager Automation 将使用启动此运行手册的用户的权限。 + DBInstance标识符 类型：字符串 描述：（必需）您的数据库实例 ID。 + DatabaseName 类型：字符串 描述：（必需）数据库实例上托管的数据库名称。 + SecretId 类型：字符串 描述：（必需）包含用户名和密码键值对的 Secrets Manager 密钥的 ARN。 CloudFormation 堆栈创建一个 IAM 策略，该策略具有此 ARN 的`GetSecretValue`操作权限。这些凭证用于允许临时实例收集数据库统计信息。请联系您的 TAM 或 STAM，讨论所需的最低权限。 + 确认 类型：字符串 描述：（必需）如果您确认此运行手册将在您的账户中创建临时资源以便从数据库实例收集统计数据，请输入 **yes**。我们建议在运行此自动化之前先联系您的 TAM 或 STAM。 + SupportCase 类型：字符串 描述：（可选）由您的 TAM 或 STAM 提供的 支持 案例编号。如果已提供，运行手册将更新此案例并附上所收集的数据。此选项要求临时 Amazon EC2 实例具有互联网连接才能访问 支持 API 终端节点。您必须将 `AllowVpcInternetAccess` 参数设置为 `true`。案例主题必须包含短语 `AWSPremiumSupport-PostgreSQLWorkloadReview`。 + S3 BucketName 类型：字符串 描述：（必需）您的账户中您要上传此自动化收集的数据的 Amazon S3 存储桶名称。验证存储桶策略是否向不需要访问存储桶内容的主体授予任何不必要的读取或写入权限。出于此自动化的目的，我们建议创建一个新的临时 Amazon S3 存储桶。运行手册将为附加到 Amazon EC2 实例的 IAM 角色提供 `s3:PutObject` API 操作的权限。上传的文件将位于 `s3://bucket name/automation execution id/`。 + InstanceType 类型：字符串 描述：（可选）将运行自定义 SQL 和 Shell 脚本的临时 Amazon EC2 实例的类型。 有效值：t2.micro \$1 t2.small \$1 t2.medium \$1 t2.large \$1 t3.micro \$1 t3.small \$1 t3.medium \$1 t3.large 默认：t3.micro + VpcCidr 类型：字符串 描述：（可选）新 VPC 的 CIDR 表示法中的 IP 地址范围（例如 `172.31.0.0/16`）。确保您选择的 CIDR 不会与任何与数据库实例相连的现有 VPC 重叠或匹配。可创建的最小 VPC 使用 /28 子网掩码，最大 VPC 使用 /16 子网掩码。 默认：172.31.0.0/16 + StackResourcesNamePrefix 类型：字符串 描述：（可选） CloudFormation 堆栈资源名称前缀和标签。运行手册使用此前缀作为应用于资源的名称和标签的一部分来创建 CloudFormation 堆栈资源。标签键值对的结构为 `StackResourcesNamePrefix:{{automation:EXECUTION_ID}}`。 默认： AWSPostgreSQLWorkload查看 + Schedule 类型：字符串 描述：（可选）维护时段计划。指定维护时段运行任务的频率。默认值为每 `1 hour`。 有效值：15 分钟 \$1 30 分钟 \$1 1 小时 \$1 2 小时 \$1 4 小时 \$1 6 小时 \$1 12 小时 \$1 1 天 \$1 2 天 \$1 4 天 默认：1 小时 + Duration 类型：整数 描述：（可选）您希望允许自动化运行的最长持续时间（分钟）。支持的最大持续时间为 8,640 分钟（6 天）。默认值为 4,320 分钟（3 天）。 有效值：30-8640 默认：4320 + UpdateRdsRouteTable 类型：字符串 描述：（可选）如果设置为 `true`，运行手册将更新与您的数据库实例运行所在的子网关联的路由表。添加了 IPv4 路由，用于通过新创建的 VPC 对等连接将流量路由到临时的 Amazon EC2 实例私有 IPV4地址。 有效值：true \$1 false 默认：false + AllowVpcInternetAccess 类型：字符串 描述：（可选）如果设置为`true`，运行手册将创建一个 NAT 网关，为临时 Amazon EC2 实例提供互联网连接，从而与 支持 API 终端节点通信。如果您只想让运行手册将输出上传到 Amazon S3 存储桶，则可以将此参数保留为 `false`。 有效值：true \$1 false 默认：false + UpdateRdsSecurityGroup 类型：字符串 描述：（可选）如果设置为 `true`，运行手册将更新与您的数据库实例关联的安全组，以允许来自临时实例私有 IP 地址的流量。 有效值：false \$1 true 默认：false + EbsVolumeDeleteOnTermination 类型：字符串 描述：（可选）如果设置为`true`，则在运行手册完成并删除 CloudFormation 堆栈后，将删除临时 Amazon EC2 实例的根卷。 有效值：false \$1 true 默认值：false **所需的 IAM 权限** `AutomationAssumeRole` 参数需要执行以下操作才能成功使用运行手册。 + `cloudformation:CreateStack` + `cloudformation:DeleteStack` + `cloudformation:DescribeStackEvents` + `cloudformation:DescribeStackResource` + `cloudformation:DescribeStacks` + `cloudformation:UpdateStack` + `ec2:AcceptVpcPeeringConnection` + `ec2:AllocateAddress` + `ec2:AssociateRouteTable` + `ec2:AssociateVpcCidrBlock` + `ec2:AttachInternetGateway` + `ec2:AuthorizeSecurityGroupEgress` + `ec2:AuthorizeSecurityGroupIngress` + `ec2:CreateEgressOnlyInternetGateway` + `ec2:CreateInternetGateway` + `ec2:CreateNatGateway` + `ec2:CreateRoute` + `ec2:CreateRouteTable` + `ec2:CreateSecurityGroup` + `ec2:CreateSubnet` + `ec2:CreateTags` + `ec2:CreateVpc` + `ec2:CreateVpcEndpoint` + `ec2:CreateVpcPeeringConnection` + `ec2:DeleteEgressOnlyInternetGateway` + `ec2:DeleteInternetGateway` + `ec2:DeleteNatGateway` + `ec2:DeleteRoute` + `ec2:DeleteRouteTable` + `ec2:DeleteSecurityGroup` + `ec2:DeleteSubnet` + `ec2:DeleteTags` + `ec2:DeleteVpc` + `ec2:DeleteVpcEndpoints` + `ec2:DescribeAddresses` + `ec2:DescribeEgressOnlyInternetGateways` + `ec2:DescribeImages` + `ec2:DescribeInstances` + `ec2:DescribeInstanceStatus` + `ec2:DescribeInternetGateways` + `ec2:DescribeNatGateways` + `ec2:DescribeRouteTables` + `ec2:DescribeSecurityGroups` + `ec2:DescribeSubnets` + `ec2:DescribeVpcEndpoints` + `ec2:DescribeVpcPeeringConnections` + `ec2:DescribeVpcs` + `ec2:DetachInternetGateway` + `ec2:DisassociateRouteTable` + `ec2:DisassociateVpcCidrBlock` + `ec2:ModifySubnetAttribute` + `ec2:ModifyVpcAttribute` + `ec2:RebootInstances` + `ec2:ReleaseAddress` + `ec2:RevokeSecurityGroupEgress` + `ec2:RevokeSecurityGroupIngress` + `ec2:StartInstances` + `ec2:StopInstances` + `ec2:RunInstances` + `ec2:TerminateInstances` + `iam:AddRoleToInstanceProfile` + `iam:AttachRolePolicy` + `iam:CreateInstanceProfile` + `iam:CreateRole` + `iam:DeleteInstanceProfile` + `iam:DeleteRole` + `iam:DeleteRolePolicy` + `iam:DetachRolePolicy` + `iam:GetInstanceProfile` + `iam:GetRole` + `iam:GetRolePolicy` + `iam:PassRole` + `iam:PutRolePolicy` + `iam:RemoveRoleFromInstanceProfile` + `iam:TagPolicy` + `iam:TagRole` + `rds:DescribeDBInstances` + `s3:GetAccountPublicAccessBlock` + `s3:GetBucketAcl` + `s3:GetBucketPolicyStatus` + `s3:GetBucketPublicAccessBlock` + `s3:ListBucket` + `ssm:AddTagsToResource` + `ssm:CancelMaintenanceWindowExecution` + `ssm:CreateDocument` + `ssm:CreateMaintenanceWindow` + `ssm:DeleteDocument` + `ssm:DeleteMaintenanceWindow` + `ssm:DeregisterTaskFromMaintenanceWindow` + `ssm:DescribeAutomationExecutions` + `ssm:DescribeDocument` + `ssm:DescribeInstanceInformation` + `ssm:DescribeMaintenanceWindowExecutions` + `ssm:GetCalendarState` + `ssm:GetDocument` + `ssm:GetMaintenanceWindowExecution` + `ssm:GetParameters` + `ssm:ListCommandInvocations` + `ssm:ListCommands` + `ssm:ListTagsForResource` + `ssm:RegisterTaskWithMaintenanceWindow` + `ssm:RemoveTagsFromResource` + `ssm:SendCommand` + `support:AddAttachmentsToSet` + `support:AddCommunicationToCase` + `support:DescribeCases` **文档步骤** 1. `aws:assertAwsResourceProperty` - 确认数据库实例处于 `available` 状态。 1. `aws:executeAwsApi` - 收集有关数据库实例的详细信息。 1. `aws:executeScript` - 检查在 `S3BucketName` 中指定的 Amazon S3 存储桶是否允许匿名访问权限或者公开读取或写入权限。 1. `aws:executeScript`-从 Automation 运行手册附件中获取 CloudFormation 模板内容，该附件用于在中创建 AWS 账户临时 AWS 资源。 1. `aws:createStack`-创建 CloudFormation 堆栈资源。 1. `aws:waitForAwsResourceProperty`-等待 CloudFormation 模板创建的 Amazon EC2 实例开始运行。 1. `aws:executeAwsApi` - 获取 CloudFormation创建的临时 Amazon EC2 实例和 VPC 对等连接的 ID。 1. `aws:executeAwsApi` - 获取用于配置与数据库实例连接的临时 Amazon EC2 实例的 IP 地址。 1. `aws:executeAwsApi` - 标记附加到临时 Amazon EC2 实例的 Amazon EBS 卷。 1. `aws:waitForAwsResourceProperty` - 等到临时 Amazon EC2 实例通过状态检查。 1. `aws:waitForAwsResourceProperty` - 等到临时 Amazon EC2 实例由 Systems Manager 管理。如果此步骤超时或失败，则运行手册会重启该实例。 1. `aws:executeAwsApi` - 如果上一步失败或超时，则重启临时 Amazon EC2 实例。 1. `aws:waitForAwsResourceProperty` - 等到临时 Amazon EC2 实例在重启后由 Systems Manager 管理。 1. `aws:runCommand` - 在临时 Amazon EC2 实例上安装元数据收集器应用程序要求。 1. `aws:runCommand` - 通过在临时 Amazon EC2 实例上创建配置文件来配置对数据库实例的访问权限。 1. `aws:executeAwsApi` - 创建维护时段，以便使用运行命令定期运行元数据收集器应用程序。维护时段会在命令之间启动和停止实例。 1. `aws:waitForAwsResourceProperty`-等待 CloudFormation 模板创建的维护窗口准备就绪。 1. `aws:executeAwsApi`-获取由创建 IDs 的维护时段和更改日历的 CloudFormation。 1. `aws:sleep` - 等到维护时段的结束日期。 1. `aws:executeAwsApi` - 关闭维护时段。 1. `aws:executeScript` - 获取在维护时段期间运行的任务的结果。 1. `aws:waitForAwsResourceProperty` - 等待维护时段完成最后一项任务后再继续。 1. `aws:branch` - 根据您是否为 `SupportCase` 参数提供了值对工作流进行分支。 1. `aws:changeInstanceState` - 启动临时 Amazon EC2 实例，等待状态检查通过后再上传报告。 1. `aws:waitForAwsResourceProperty` - 等到临时 Amazon EC2 实例由 Systems Manager 管理。如果此步骤超时或失败，运行手册将重启该实例。 1. `aws:executeAwsApi` - 如果上一步失败或超时，则重启临时 Amazon EC2 实例。 1. `aws:waitForAwsResourceProperty` - 等到临时 Amazon EC2 实例在重启后由 Systems Manager 管理。 1. `aws:runCommand` - 如果您为 `SupportCase` 参数提供了值，则将元数据报告附加到 支持 案例。该脚本将报告压缩并拆分为 5 MB 的文件。该脚本附加到 支持 案例的最大文件数为 12。 1. `aws:changeInstanceState`-停止临时的 Amazon EC2 实例，以防 CloudFormation 堆栈无法删除。 1. `aws:executeAwsApi`-描述运行手册无法创建或更新 CloudFormation 堆栈时的 CloudFormation 堆栈事件。 1. `aws:waitForAwsResourceProperty`-等待 CloudFormation 堆栈处于终端状态后再删除。 1. `aws:executeAwsApi`-删除不包括维护时段的 CloudFormation 堆栈。如果 `EbsVolumeDeleteOnTermination` 参数值设置为 `false`，则与临时 Amazon EC2 实例关联的 Amazon EBS 根卷将保留。