AWS verbinden
AWS verbinden
Costfluent liest AWS-Kosten über eine schreibgeschützte IAM-Rolle in Ihrem Konto. Die Rolle vertraut genau einem Costfluent-Principal, und nur mit der externen ID, die Costfluent Ihrer Organisation ausstellt. Es werden keine Zugriffsschlüssel ausgetauscht.
Die Kosten stammen aus einem AWS-Datenexport im Format FOCUS 1.2, der täglich in einen privaten S3-Bucket in Ihrem eigenen Konto geliefert wird. Er enthält amortisierte Kosten, Listenkosten, Kostenkategorien, Regionen, Ressourcen-IDs und Tags. Bis zur ersten Lieferung, und für jeden Monat, den der Export nicht abdeckt, liest Costfluent stattdessen den Cost Explorer.
Management- und Mitgliedskonten
Verbinden Sie das Managementkonto Ihrer AWS-Organisation einmal. Sein Export deckt alle Mitgliedskonten ab, und Costfluent listet die Mitglieder an der Verbindung auf. Ein zusätzlich verbundenes Mitgliedskonto würde seine Kosten doppelt zählen, daher lehnt Costfluent eine Verbindung ab, deren Konten bereits eine andere AWS-Verbindung abdeckt.
Ein einzeln verbundenes Mitgliedskonto erhält nur die Rolle und wird aus dem Cost Explorer gelesen. Ein Einzelkonto wird wie ein Managementkonto behandelt.
Über die AWS-Konsole verbinden
Das ist der Standardweg. Öffnen Sie Einstellungen, dann Integrationen, wählen Sie AWS und dann Costfluent über die AWS-Konsole verbinden.
- Lassen Sie Dies ist ein Management- oder Einzelkonto aktiviert, um den Export anzulegen; deaktivieren Sie es für ein Mitgliedskonto.
- AWS öffnet eine CloudFormation-Schnellerstellung in us-east-1, mit allen Parametern ausgefüllt. Bestätigen Sie, dass der Stack IAM-Ressourcen anlegt, und erstellen Sie ihn.
- Ist der Stack fertig, meldet er sich bei Costfluent, und die Verbindung erscheint auf der Seite, ohne dass Sie etwas einfügen müssen. Schlägt der Stack fehl, zeigen die Seite und CloudFormation den Grund, und der Stack wird zurückgerollt.
Der Link gilt 24 Stunden und verbindet nur mit der Organisation, die ihn erzeugt hat.
Über die AWS CLI verbinden
Wählen Sie unter Weitere Verbindungsoptionen den Eintrag AWS CLI. Costfluent zeigt einen
Befehl aws cloudformation create-stack mit derselben Vorlage und denselben Parametern. Führen
Sie ihn mit Zugangsdaten für das zu verbindende Konto aus:
Code
Der Stack meldet sich genauso zurück wie beim Weg über die Konsole.
Mit Terraform verbinden
Das Modul costfluent/cost-access/aws legt die Rolle an und, wenn Sie einen Bucket angeben, den
Bucket und den Export. Die Datenquelle costfluent_aws_provider_info liest Principal und externe
ID für Sie:
Code
costfluent_provider versucht es bis zu drei Minuten erneut, während sich die neue Rolle in IAM
verbreitet. Damit die gelieferten Dateien in der EU bleiben, setzen Sie cost_export_bucket_region;
der Export selbst läuft immer in us-east-1.
Über die IAM-Konsole verbinden
Wählen Sie unter Weitere Verbindungsoptionen den Eintrag AWS-IAM-Konsole. Costfluent zeigt Ihre externe ID, die Vertrauensrichtlinie und die Berechtigungsrichtlinie. Legen Sie eine Rolle mit beiden an und geben Sie dann ihren ARN ein, und den Export-Bucket, falls Sie einen angelegt haben.
Legen Sie den Export selbst an, muss er ein Export FOCUS 1.2 with AWS columns (FOCUS_1_2_AWS)
mit allen Spalten sein, mit täglicher Granularität, CSV mit GZIP-Kompression und Overwrite
existing data export file, geliefert in einen Bucket, den die Rolle lesen darf, unter dem Präfix
costfluent mit dem Exportnamen costfluent-focus.
Welche Rechte Costfluent erhält
| Aktion | Ressource | Wozu |
|---|---|---|
ce:GetCostAndUsage | * | Historie vor der ersten Lieferung, Konten ohne Export und die monatliche Kontrollsumme. |
organizations:ListAccounts | * | Welche Mitgliedskonten die Kosten eines Managementkontos abdecken. |
s3:ListBucket | der Export-Bucket | Findet die Lieferung jedes Monats. |
s3:GetObject | die Objekte des Export-Buckets | Liest diese Lieferung. |
Cost Explorer und Organizations kennen keine ressourcenbezogenen Rechte, daher ist ihre Ressource
*; das gewährt keinen Zugriff auf irgendetwas anderes im Konto. Die S3-Rechte gibt es nur, wenn es
einen Export gibt.
Historie und erste Lieferung
AWS liefert den ersten Export innerhalb von 24 bis 72 Stunden nach dem Anlegen. Bis dahin zeigt die Verbindung Kosten aus dem Cost Explorer, und Costfluent ersetzt sie durch die Zeilen des Exports, sobald die Lieferung eintrifft. Costfluent liest bei jeder Synchronisierung den laufenden Monat neu, in den ersten fünfzehn Tagen auch den Vormonat, weil AWS den Vormonat bis zu zwei Wochen nach Monatsende noch aktualisiert.
Ein neuer Export beginnt mit dem laufenden Monat. Um bis zu 14 Monate Historie hineinzubringen, eröffnen Sie beim AWS Support einen Fall (Billing, Data Exports) mit der Bitte, den Export nachzufüllen, und bitten Sie danach den Costfluent-Support, diese Monate neu zu erfassen.
Was es Sie kostet
Costfluent liest den Export von außerhalb von AWS, daher ist das Lesen S3-Datenübertragung nach außen auf Ihrer Rechnung. Ein täglicher Export umfasst typischerweise wenige Megabyte im Monat. Jede Cost-Explorer-Anfrage von Costfluent kostet 0,01 USD, und Costfluent stellt sie nur für Monate ohne Export, für Verbindungsprüfungen und für die monatliche Kontrollsumme.
Nach dem Verbinden
Der Tab Verwalten listet die Verbindung mit ihrer Konto-ID, ihrer Rolle und ihrem Export-Bucket. Öffnen Sie das Zahnrad daneben, um zu sehen, ob die Rolle noch angenommen und der Bucket gelesen werden kann, welche Workspaces die Verbindung speist und welche Abrechnungsmonate importiert wurden. Prüfungen ausführen führt diese Prüfungen erneut aus und meldet jede einzeln.
Zugriff entfernen
Löschen Sie den CloudFormation-Stack oder führen Sie terraform destroy aus, um die Rolle zu
entfernen; der Zugriff von Costfluent endet mit ihr. Der Export-Bucket bleibt erhalten, damit Ihre
Historie in Ihrem Konto bleibt. Entfernen Sie die Verbindung auch in Costfluent.