Che cos’è AWS CloudWatch?

AWS CloudWatch è un servizio di monitoraggio progettato per raccogliere e tracciare metriche relative a risorse e applicazioni in esecuzione su AWS. CloudWatch garantisce visibilità sulle prestazioni del sistema e include funzionalità di allerta che possono notificare gli utenti in caso di problemi. Offre monitoraggio di base (gratuito) e dettagliato (a pagamento), a seconda del servizio AWS.

Caratteristiche principali di AWS CloudWatch

Le funzionalità chiave di CloudWatch includono dashboard, raccolta di metriche, monitoraggio dei log e allarmi. Tutte ruotano attorno a una serie di sistemi di monitoraggio che osservano diversi componenti dell’ecosistema AWS.

1. Raccolta e tracciamento delle metriche

• Monitora metriche come utilizzo della CPU, uso della memoria, I/O su disco e attività di rete su risorse AWS come EC2, RDS e Lambda.
• Le metriche sono in genere archiviate in un bucket Amazon EC2 e fungono da repository di metriche.

2. Sistemi di monitoraggio

• Una varietà di sistemi di monitoraggio, come monitoraggio applicativo, di rete e dell’infrastruttura.
• Monitoraggio applicativo focalizzato sulla salute dell’applicazione, come latenza, disponibilità ed errori.
• Monitoraggio di rete include Internet Monitor e Network Monitor per tracciare sia il traffico globale (Internet) sia la latenza e la perdita di pacchetti in ambienti ibridi (on-premise con cloud).
• Monitoraggio dell’infrastruttura può includere insight sui container (Amazon Elastic e Kubernetes) per l’uso delle risorse quali CPU, memoria e altro. Può anche tracciare le applicazioni AWS Lambda per le stesse metriche.

3. Dashboard in tempo reale

• Fornisce dashboard personalizzabili per visualizzare in tempo reale prestazioni e trend del sistema.
• Può mostrare applicazioni personalizzate e metriche a scelta

Dashboard di CloudWatch: documentazione Amazon

4. Allarmi e soglie

• Imposta allarmi per rilevare e rispondere ad anomalie nelle prestazioni, attivando automaticamente azioni o inviando avvisi.
• Alcune azioni includono l’avvio di altre istanze o l’arresto di istanze sottoutilizzate.

Casi d’uso di AWS CloudWatch

Vediamo alcuni casi d’uso specifici per AWS CloudWatch.

Ottimizzazione delle prestazioni

AWS CloudWatch aiuta a identificare i colli di bottiglia e ottimizzare l’uso delle risorse. Per esempio, Internet Monitor può rilevare problemi di latenza su una piattaforma globale di cloud gaming e suggerire il deployment di server in regioni più ottimali per ridurre il lag.

Allerta automatizzata

Configura allarmi basati su soglie predefinite per lo scaling delle risorse o il rilevamento di errori. Ad esempio, quando gli Service Level Objectives (SLO) di un’applicazione non sono rispettati, CloudWatch può inviare avvisi e offrire raccomandazioni operative per migliorare le metriche di performance.

Visibilità continua

Usa le dashboard per mantenere insight in tempo reale sullo stato del sistema. Le dashboard sono particolarmente utili per tracciare le prestazioni dei flussi di dati da servizi come AWS Kinesis e AWS Lambda. Un ottimo modo per capire questo processo è il corso Streaming Data with AWS Kinesis and Lambda, in cui alla fine costruirai dashboard con AWS CloudWatch.

Che cos’è AWS CloudTrail?

AWS CloudTrail è un servizio di logging progettato per tracciare tutta l’attività API nel tuo account AWS, garantendo accountability. Registra le azioni degli utenti, le modifiche alle risorse e le interazioni tra servizi, fornendo una traccia di audit immutabile per finalità di governance e conformità. È particolarmente utile per la conformità alla sicurezza e l’audit del comportamento degli utenti. Se vuoi saperne di più, dai un’occhiata a questo corso su AWS Security and Cost Management.

Caratteristiche principali di AWS CloudTrail

Le funzionalità chiave di CloudTrail ruotano attorno al monitoraggio dell’attività degli utenti. Poiché l’obiettivo di CloudTrail è mantenere accountability e capacità di audit, ha senso che tutte le azioni vengano monitorate e archiviate.

1. Tracciamento delle azioni

CloudTrail registra tutte le azioni degli utenti, e questo tracciamento completo è fondamentale per capire il “chi, cosa e quando” del tuo ambiente AWS.

2. Supporto alla conformità

Aiuta le organizzazioni a soddisfare requisiti normativi come PCI DSS e HIPAA mantenendo la cronologia degli eventi.

In caso di violazioni, può essere usato per tracciare l’ora esatta e l’account utente coinvolto nella violazione.

4. Integrazione con i servizi AWS

CloudTrail può inviare i log a S3 per l’archiviazione a lungo termine o ad Amazon Athena per interrogazioni e analisi. Queste integrazioni semplificano l’analisi dei trend o l’indagine delle anomalie.

Esempio di log CloudTrail: blog AWS CloudTrail

Casi d’uso di AWS CloudTrail

Ci sono alcuni casi d’uso chiave per AWS CloudTrail che ruotano attorno ad audit e tracciamento della conformità.

Audit di sicurezza

CloudTrail abilita audit dettagliati per garantire la conformità a standard normativi e policy interne. In caso di incidente di sicurezza, i log di CloudTrail forniscono i dettagli necessari per identificare la causa radice e valutarne l’impatto.

Log di audit CloudTrail: AWS Security Maturity Model

Risoluzione dei problemi legati ai cambiamenti

Rivedendo i log, i team possono rintracciare modifiche alle risorse che potrebbero aver causato comportamenti imprevisti. Questo consente un modo più semplice per risolvere eventuali problemi a valle.

CloudTrail vs. CloudWatch: differenze chiave

Come detto in precedenza, sia CloudTrail sia CloudWatch sono strumenti fondamentali di logging nell’ambiente AWS. Tuttavia, osservano componenti diversi dell’ambiente AWS e in questa sezione tratteremo le differenze chiave, dal focus ai costi.

Focus

CloudWatch e CloudTrail si concentrano su parti diverse dell’ambiente AWS.

• CloudWatch: monitora le prestazioni delle risorse e la salute operativa. L’obiettivo è capire come stanno funzionando i componenti AWS e se ci sono problemi di latenza, interazione con i clienti o limitazioni di risorse.
• CloudTrail: traccia l’attività API a fini di governance e conformità. L’obiettivo è mantenere una chiara “traccia documentale” per l’accountability.

Latenza dei dati

CloudWatch ha latenza quasi nulla, mentre CloudTrail presenta una certa latenza.

• CloudWatch: fornisce insight quasi in tempo reale, con metriche aggiornate anche ogni minuto. La visibilità in tempo reale è fondamentale poiché CloudWatch deve poter fornire avvisi istantanei o apportare modifiche alle risorse secondo necessità.
• CloudTrail: registra l’attività API con un ritardo di alcuni minuti, concentrandosi sull’analisi storica. Poiché i log sono generalmente usati per esaminare azioni passate, un ritardo di pochi minuti è accettabile.

Integrazione

Entrambi si integrano perfettamente con servizi AWS come Lambda, S3 e SNS.

• CloudWatch: il migliore per il monitoraggio operativo e le risposte automatiche alle metriche di performance. Può integrarsi anche con container come Kubernetes, storage EC2 e altre applicazioni per un logging più dettagliato in casi d’uso specifici.
• CloudTrail: ideale per audit di sicurezza e tracciamento delle attività degli utenti. Si integra con lo storage EC2 per l’archiviazione dei log.

Costo

Entrambi offrono un logging di base gratuito, ma propongono funzionalità avanzate a pagamento.

• CloudWatch: il logging di base sull’uso delle risorse, errori e problemi è generalmente gratuito. Il logging più dettagliato ha costi basati sul volume di metriche raccolte, sugli allarmi impostati e sulla complessità dei dati archiviati. Applicazioni diverse hanno livelli variabili di dettaglio del logging.
• CloudTrail: il logging degli eventi di gestione è gratuito, mentre la registrazione degli eventi sui dati e l’analisi avanzata comportano costi aggiuntivi.

Dati di logging

Il modo in cui i log vengono raccolti e archiviati differisce tra i due strumenti in base ai rispettivi casi d’uso.

• CloudWatch: i dati sono forniti in tempo reale, ma possono essere aggregati per intervalli temporali. Poiché il dettaglio esatto può non essere necessario, i dati forniti sono generalmente riepilogati alla scala temporale di raccolta.
• CloudTrail: con l’obiettivo di fornire tracce di audit accurate e dettagliate, non aggrega l’attività. Fornisce invece informazioni su ogni azione intrapresa per delineare chiaramente le operazioni svolte.

Riepilogo delle differenze chiave

Ecco una tabella che riassume le differenze principali.

CloudTrail vs. CloudWatch vs. AWS Config

Mentre CloudTrail e CloudWatch si occupano di logging e monitoraggio, AWS Config si concentra sul tracciamento delle modifiche di configurazione alle risorse AWS. Questo lo rende utile per capire come la configurazione attuale stia influenzando le tue risorse AWS. AWS Config non è uno strumento di logging, ma ti aiuta a comprendere come i cambiamenti abbiano impattato la gestione delle risorse AWS.

• CloudTrail: registra l’attività API per sicurezza e audit al fine di rispettare gli standard di conformità
• CloudWatch: monitora le prestazioni delle risorse AWS e può essere usato per gli allarmi 
• AWS Config: garantisce che le modifiche di configurazione restino entro i limiti e può mostrare come i cambiamenti hanno impattato le risorse.

Conclusione: quando usare CloudTrail e CloudWatch

Per gli utenti AWS, la scelta tra CloudTrail e CloudWatch dipende dallo scopo. Usa CloudWatch se devi monitorare le prestazioni del sistema, tracciare metriche operative e automatizzare le risposte alle anomalie. Usa CloudTrail se il tuo focus è su sicurezza, conformità o audit delle attività degli utenti. 

Capire quale strumento usare è fondamentale per un monitoraggio e un logging completi e per mantenere l’infrastruttura AWS. Se vuoi approfondire AWS e come funzionano questi strumenti, dai un’occhiata a queste risorse:

• How to Set Up and Configure AWS
• AWS Certifications
• AWS Cloud Technology and Services