自动为 AWS Elastic Beanstalk 应用安全更新

Question

从早期开始，我就一直是 Heroku 的粉丝。但我喜欢 AWS Elastic Beanstalk 让您更好地控制实例特征的事实。我喜欢 Heroku 的一件事是我可以部署应用程序而不必担心管理它。我假设Heroku 确保及时应用所有操作系统安全更新。我只需要确保我的应用程序是安全的。

我对 Beanstalk 的初步研究表明，虽然它为您构建和配置实例，但之后它转向了更加手动的管理过程。安全更新不会自动应用于实例。似乎有两个方面的担忧：

• 新的 AMI 版本 - 随着新的 AMI 版本的出现，我们似乎希望运行最新的（大概是最安全的）。但我的研究似乎表明您需要手动启动新设置才能查看最新的 AMI 版本，然后创建一个新环境以使用该新版本。是否有更好的自动化方式将您的实例轮换为新的 AMI 版本？
• 在发布之间，将发布包的安全更新。似乎我们也想升级它们。我的研究似乎表明人们安装命令来偶尔运行 yum 更新. 但是由于新实例是根据使用情况创建/销毁的，因此新实例似乎并不总是具有更新（即实例创建和第一次 yum 更新之间的时间）。因此，有时您会遇到未打补丁的实例。而且您还将让实例不断自我修补，直到应用新的 AMI 版本。我的另一个担忧是，这些安全更新可能没有经过亚马逊自己的审查（就像 AMI 版本那样），它可能会破坏我的应用程序来自动更新它们。我知道 Dreamhost 曾经有过 12 小时的中断，因为他们在没有任何审查的情况下完全自动地应用了 debian 更新。我想确保同样的事情不会发生在我身上。

所以我的问题是亚马逊是否提供了一种方法来提供像 Heroku 这样的完全托管的 PaaS？或者 AWS Elastic Beanstalk 真的更像是一个安装脚本，之后您就可以自己动手了（除了他们提供的监控和部署工具）？

Answer 1

首先，要明确的是，没有任何 Elastic Beanstalk 不是您所考虑的 PaaS。如果你把它分解成碎片，它真的更像是拥有虚拟化实例模板和应用程序部署自动化，如 puppet 或chef。除此之外，您还可以自动访问 awe 的负载均衡器服务和云监视监控，这允许您根据指标启动新的应用程序服务器或关闭现有的应用程序服务器。

让人感觉像 PaaS 的主要卖点是应用程序部署系统，它接收您的代码并将其复制到集群中的所有应用程序服务器。

一些人对 PaaS 的抱怨之一是 PaaS 供应商为您做出有关应用程序环境的决定。在我看来，这就像 PaaS 的价值主张：作为客户，您可以专注于应用程序功能，而将所有其他细节留给 PaaS 供应商。您正在花钱请其他人来管理基础设施和提供系统管理。为简单起见，您向他们支付了额外费用，就像 Heroku 一样，它也在 ec2 之上运行他们的基础设施，只是以一种对您透明的方式。

Amazon 确实在 Ec2 和他们的 REST api 之上提供了 Elastic Beanstalk，并没有做出太多努力来向您隐藏。这是因为他们通过 IaaS 赚钱，而 EB 只是编排一组 ec2 资源的设置，您可以在给定时间和知识的情况下自行设置。

现在，就 AMI 的细节而言，AMI 再次成为用于促进 EB 的众多 ec2 部分之一。EB AMI 没有什么神奇之处——它只是一个预先配置为与 EB 一起使用的 Amazon linux ami。与任何其他 AMI 一样，您可以在 EC2 中启动它，对其进行调整，并从您正在运行的实例派生一个新的自定义 AMI。Amazon Linux 基本上是 Centos 和 Fedora 的混合体，具有半虚拟化补丁和由 Amazon 维护的预配置 yum 存储库。

您可能知道，Amazon linux 已经配置为在启动时安装安全补丁。但是，在修补方面，正在运行的实例与任何其他服务器没有什么不同。打补丁可能会中断服务。如果您非常关心安全补丁，您可以随时使用容器命令并设置 cron 来定期运行 yum update --security。

您还可以利用 EB API 来更改 EB 配置，或自动创建新的 EB 环境，然后您可以在它启动并准备好后切换到它，然后关闭旧的。这在这里描述：http : //docs.aws.amazon.com/elasticbeanstalk/latest/dg/using-features.CNAMESwap.html

与 AWS 的其余部分一样，有一种方法可以以编程方式访问和控制每个非 SaaS 功能，因此没有什么可以阻止您创建打补丁的 AMI，然后将其用于创建新的 EB 环境并推出这些功能。EB 不会将配置细节强加给您，也不会为您提供系统管理组来维护基础架构。

Answer 2

截至 2016 年 4 月，Elastic Beanstalk 支持自动平台更新：

https://aws.amazon.com/about-aws/whats-new/2016/04/aws-elastic-beanstalk-introduces-managed-platform-updates/