AWS CloudWatch là gì?

AWS CloudWatch là dịch vụ giám sát được thiết kế để thu thập và theo dõi số liệu về tài nguyên và ứng dụng chạy trên AWS. CloudWatch đảm bảo khả năng quan sát hiệu năng hệ thống và thậm chí có tính năng cảnh báo để thông báo cho người dùng khi có sự cố. Dịch vụ cung cấp cả giám sát cơ bản (miễn phí) và chi tiết (trả phí), tùy thuộc vào dịch vụ AWS.

Các tính năng chính của AWS CloudWatch

Các tính năng chính của CloudWatch bao gồm bảng điều khiển, thu thập số liệu, giám sát nhật ký và cảnh báo. Tất cả đều được xây dựng xoay quanh một tập hợp hệ thống giám sát nhìn vào các thành phần khác nhau của hệ sinh thái AWS.

1. Thu thập và theo dõi số liệu

• Giám sát các số liệu như mức sử dụng CPU, sử dụng bộ nhớ, I/O đĩa và hoạt động mạng trên các tài nguyên AWS như EC2, RDS và Lambda.
• Các số liệu thường được lưu trữ trong một bucket Amazon EC2 và đóng vai trò như kho lưu trữ số liệu.

2. Hệ thống giám sát

• Nhiều hệ thống giám sát đa dạng như giám sát ứng dụng, mạng và hạ tầng.
• Giám sát ứng dụng tập trung vào tình trạng ứng dụng như độ trễ, tính sẵn sàng và lỗi.
• Giám sát mạng có Internet Monitor và Network Monitor để theo dõi cả lưu lượng toàn cầu (Internet) và độ trễ, mất gói trong môi trường lai (tại chỗ kết hợp đám mây).
• Giám sát hạ tầng có thể bao gồm thông tin chuyên sâu về container (Amazon Elastic và Kubernetes) cho các chỉ số sử dụng tài nguyên như CPU, bộ nhớ, v.v. Nó cũng có thể theo dõi các ứng dụng AWS Lambda của bạn với các số liệu tương tự.

3. Bảng điều khiển theo thời gian thực

• Cung cấp bảng điều khiển có thể tùy chỉnh để trực quan hóa hiệu năng hệ thống và xu hướng theo thời gian thực.
• Có thể hiển thị các ứng dụng tùy chỉnh và số liệu bạn lựa chọn

Bảng điều khiển CloudWatch: Tài liệu Amazon

4. Cảnh báo và ngưỡng

• Thiết lập cảnh báo để phát hiện và phản hồi các bất thường về hiệu năng, tự động kích hoạt hành động hoặc gửi thông báo.
• Một số hành động bao gồm khởi chạy thêm phiên bản hoặc dừng các phiên bản ít được sử dụng.

Trường hợp sử dụng AWS CloudWatch

Hãy xem một vài trường hợp sử dụng cụ thể cho AWS CloudWatch.

Tối ưu hóa hiệu năng

AWS CloudWatch giúp xác định điểm nghẽn và tối ưu hóa việc sử dụng tài nguyên. Ví dụ, Internet Monitor có thể phát hiện vấn đề độ trễ trên nền tảng game đám mây toàn cầu và khuyến nghị triển khai máy chủ ở các khu vực tối ưu hơn để giảm lag.

Cảnh báo tự động

Thiết lập cảnh báo dựa trên các ngưỡng định sẵn cho mở rộng tài nguyên hoặc phát hiện lỗi. Chẳng hạn, khi Mục tiêu Mức dịch vụ (SLO) của một ứng dụng không được đáp ứng, CloudWatch có thể gửi cảnh báo và đưa ra khuyến nghị mang tính hành động để cải thiện các chỉ số hiệu năng.

Quan sát liên tục

Sử dụng bảng điều khiển để duy trì góc nhìn theo thời gian thực về tình trạng hệ thống. Bảng điều khiển đặc biệt hữu ích để theo dõi hiệu năng của luồng dữ liệu từ các dịch vụ như AWS Kinesis và AWS Lambda. Một cách tuyệt vời để hiểu quy trình này là khóa học Streaming Data with AWS Kinesis and Lambda, trong đó cuối cùng bạn sẽ xây dựng bảng điều khiển với AWS CloudWatch.

AWS CloudTrail là gì?

AWS CloudTrail là dịch vụ ghi nhật ký được thiết kế để theo dõi mọi hoạt động API trong tài khoản AWS của bạn, đảm bảo tính quy trách nhiệm. Dịch vụ ghi lại hành động người dùng, thay đổi tài nguyên và tương tác dịch vụ, cung cấp chuỗi kiểm toán bất biến phục vụ mục đích quản trị và tuân thủ. Điều này đặc biệt hữu ích cho tuân thủ bảo mật và kiểm toán hành vi người dùng. Nếu bạn muốn tìm hiểu thêm, hãy xem khóa học AWS Security and Cost Management.

Các tính năng chính của AWS CloudTrail

Các tính năng chủ chốt của CloudTrail xoay quanh việc giám sát hoạt động người dùng. Vì mục tiêu của CloudTrail là duy trì khả năng quy trách nhiệm và kiểm toán, nên hợp lý khi mọi hành động đều được theo dõi và lưu trữ.

1. Theo dõi hành động

CloudTrail ghi lại mọi hành động của người dùng, và sự theo dõi toàn diện này rất quan trọng để hiểu "ai, làm gì, khi nào" trong môi trường AWS của bạn.

2. Hỗ trợ tuân thủ

Giúp các tổ chức đáp ứng các yêu cầu quy định như PCI DSS và HIPAA bằng cách duy trì lịch sử sự kiện.

Khi có vi phạm, nó có thể được dùng để truy vết chính xác thời điểm và tài khoản người dùng liên quan đến vi phạm.

4. Tích hợp với các dịch vụ AWS

CloudTrail có thể gửi nhật ký đến S3 để lưu trữ dài hạn hoặc đến Amazon Athena để truy vấn và phân tích. Những tích hợp này giúp việc phân tích xu hướng hoặc điều tra bất thường dễ dàng hơn.

Ví dụ nhật ký CloudTrail: Blog AWS CloudTrail

Trường hợp sử dụng AWS CloudTrail

Có một vài trường hợp sử dụng chính cho AWS CloudTrail xoay quanh kiểm toán và theo dõi tuân thủ.

Kiểm toán bảo mật

CloudTrail cho phép kiểm toán chi tiết để đảm bảo tuân thủ các tiêu chuẩn quy định và chính sách nội bộ. Khi xảy ra sự cố bảo mật, nhật ký CloudTrail cung cấp chi tiết cần thiết để xác định nguyên nhân gốc rễ và đánh giá tác động.

Nhật ký kiểm toán CloudTrail: Mô hình trưởng thành bảo mật AWS

Khắc phục sự cố thay đổi

Bằng cách xem lại nhật ký, các nhóm có thể truy vết các thay đổi đối với tài nguyên có thể đã gây ra hành vi bất ngờ. Điều này cho phép giải quyết các vấn đề phát sinh về sau theo cách trực diện hơn.

CloudTrail so với CloudWatch: Những khác biệt chính

Như đã đề cập, cả CloudTrail và CloudWatch đều là công cụ ghi nhật ký nền tảng trong môi trường AWS. Tuy nhiên, chúng xem xét những thành phần khác nhau của môi trường AWS và phần này sẽ đề cập những khác biệt chính đó, từ trọng tâm đến chi phí.

Trọng tâm

CloudWatch và CloudTrail tập trung vào các phần khác nhau trong môi trường AWS.

• CloudWatch: Giám sát hiệu năng tài nguyên và tình trạng vận hành. Mục tiêu là hiểu các thành phần AWS đang chạy như thế nào và liệu có vấn đề về độ trễ, tương tác khách hàng hoặc giới hạn tài nguyên hay không.
• CloudTrail: Theo dõi hoạt động API phục vụ quản trị và tuân thủ. Mục tiêu là duy trì “dấu vết giấy tờ” rõ ràng để quy trách nhiệm.

Độ trễ dữ liệu

CloudWatch gần như không có độ trễ, trong khi CloudTrail có một chút độ trễ.

• CloudWatch: Cung cấp thông tin gần thời gian thực, với số liệu được cập nhật thường xuyên mỗi phút. Cần có thông tin thời gian thực vì CloudWatch phải có khả năng đưa ra cảnh báo tức thời hoặc thay đổi tài nguyên khi cần.
• CloudTrail: Ghi nhật ký hoạt động API với độ trễ vài phút, tập trung vào phân tích lịch sử. Vì nhật ký thường dùng để xem các hành động trong quá khứ, độ trễ vài phút là chấp nhận được.

Tích hợp

Cả hai đều tích hợp mượt mà với các dịch vụ AWS như Lambda, S3 và SNS.

• CloudWatch: Tốt nhất cho giám sát vận hành và phản hồi tự động theo các số liệu hiệu năng. Nó cũng có thể tích hợp với container như Kubernetes, lưu trữ EC2 và các ứng dụng khác để ghi nhật ký chi tiết hơn cho các trường hợp sử dụng cụ thể.
• CloudTrail: Lý tưởng cho kiểm toán bảo mật và theo dõi hoạt động người dùng. Nó sẽ tích hợp với lưu trữ EC2 để lưu trữ nhật ký.

Chi phí

Cả hai đều có ghi nhật ký cơ bản miễn phí nhưng cung cấp ghi nhật ký nâng cao có tính phí.

• CloudWatch: Ghi nhật ký cơ bản về mức sử dụng tài nguyên, lỗi và sự cố thường miễn phí. Ghi nhật ký chi tiết hơn có chi phí dựa trên khối lượng số liệu thu thập, số lượng cảnh báo đặt ra, và độ phức tạp của dữ liệu lưu trữ. Các ứng dụng khác nhau có mức độ chi tiết nhật ký khác nhau.
• CloudTrail: Ghi nhật ký sự kiện quản trị là miễn phí, nhưng ghi nhật ký sự kiện dữ liệu và phân tích nâng cao sẽ phát sinh chi phí bổ sung.

Dữ liệu nhật ký

Cách thu thập và lưu trữ nhật ký khác nhau giữa hai công cụ dựa trên các trường hợp sử dụng riêng.

• CloudWatch: Dữ liệu được cung cấp theo thời gian thực, nhưng có thể được tổng hợp theo khung thời gian. Vì chi tiết tuyệt đối có thể không cần thiết, dữ liệu thường được tóm tắt ở thang thời gian thu thập.
• CloudTrail: Với mục tiêu cung cấp chuỗi kiểm toán chính xác và chi tiết, dịch vụ không tổng hợp hoạt động. Thay vào đó, nó cung cấp thông tin về mọi hành động đã thực hiện để phác thảo rõ ràng các hành động.

Tóm tắt khác biệt chính

Dưới đây là bảng tóm tắt các khác biệt chính.

CloudTrail so với CloudWatch so với AWS Config

Trong khi CloudTrail và CloudWatch xử lý ghi nhật ký và giám sát, AWS Config tập trung vào theo dõi thay đổi cấu hình đối với tài nguyên AWS. Điều này giúp hiểu cách cấu hình hiện tại tác động đến tài nguyên AWS của bạn. Bản thân AWS Config không phải là công cụ ghi nhật ký, mà giúp bạn hiểu các thay đổi đã ảnh hưởng đến quản lý tài nguyên AWS như thế nào.

• CloudTrail: Ghi nhật ký hoạt động API cho bảo mật và kiểm toán để đáp ứng tiêu chuẩn tuân thủ
• CloudWatch: Giám sát hiệu năng tài nguyên AWS và có thể dùng cho cảnh báo 
• AWS Config: Đảm bảo thay đổi cấu hình nằm trong giới hạn và có thể cho thấy tác động của thay đổi lên tài nguyên.

Kết luận: Khi nào dùng CloudTrail và CloudWatch

Đối với người dùng AWS, lựa chọn giữa CloudTrail và CloudWatch phụ thuộc vào mục tiêu của bạn. Dùng CloudWatch nếu bạn cần giám sát hiệu năng hệ thống, theo dõi số liệu vận hành và tự động phản hồi với bất thường. Dùng CloudTrail nếu trọng tâm của bạn là bảo mật, tuân thủ hoặc kiểm toán hoạt động người dùng. 

Hiểu công cụ nào cần dùng là điều quan trọng để giám sát, ghi nhật ký toàn diện và duy trì hạ tầng AWS. Nếu bạn muốn học thêm về AWS và cách các công cụ này hoạt động, hãy xem một số tài nguyên sau:

• Cách thiết lập và cấu hình AWS
• Chứng chỉ AWS
• AWS Cloud Technology and Services