Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Configurare e abilitare Monitoraggio avanzato
Per utilizzare Monitoraggio avanzato, è necessario creare un ruolo IAM e quindi abilitare Monitoraggio avanzato.
**Topics**
+ [Creazione di un ruolo IAM per Enhanced Monitoring](#USER_Monitoring.OS.Enabling.Prerequisites)
+ [Attivazione e disattivazione del monitoraggio avanzato](#USER_Monitoring.OS.Enabling.Procedure)
+ [Protezione dal problema del "confused deputy"](#USER_Monitoring.OS.confused-deputy)
## Creazione di un ruolo IAM per Enhanced Monitoring
Enhanced Monitoring richiede l'autorizzazione ad agire per conto dell'utente per inviare le informazioni sulle metriche del sistema operativo ai CloudWatch registri. Concedi le autorizzazioni di monitoraggio avanzato utilizzando un ruolo AWS Identity and Access Management (IAM). È possibile creare questo ruolo quando si abilita il monitoraggio avanzato o lo si crea in anticipo.
**Topics**
+ [Creazione del ruolo IAM quando si attiva Enhanced Monitoring](#USER_Monitoring.OS.Enabling.Prerequisites.creating-role-automatically)
+ [Creazione del ruolo IAM prima di abilitare Enhanced Monitoring](#USER_Monitoring.OS.Enabling.Prerequisites.creating-role-manually)
### Creazione del ruolo IAM quando si attiva Enhanced Monitoring
Quando si attiva Enhanced Monitoring nella console RDS, Amazon RDS è possibile creare il ruolo IAM necessario. Il ruolo è denominato `rds-monitoring-role`. RDS utilizza questo ruolo per l'istanza DB, la replica di lettura o il cluster Multi-AZ DB specificati.
**Per creare il ruolo IAM quando si attiva Enhanced Monitoring**
1. Segui la procedura riportata in [Attivazione e disattivazione del monitoraggio avanzato](#USER_Monitoring.OS.Enabling.Procedure).
1. Imposta **Ruolo di monitoraggio** su **Predefinito** nel passaggio in cui si sceglie un ruolo.
### Creazione del ruolo IAM prima di abilitare Enhanced Monitoring
È possibile creare il ruolo richiesto prima di abilitare Enhanced Monitoring. Quando si abilita Enhanced Monitoring, specifica il nome del nuovo ruolo. Si deve creare questo ruolo necessario se si abilita il monitoraggio avanzato utilizzando AWS CLI oppure l'API RDS.
L'utente che abilita il monitoraggio avanzato deve ricevere l'autorizzazione `PassRole`. Per ulteriori informazioni, consulta l'Esempio 2 in [ Concessione a un utente delle autorizzazioni per passare un ruolo a un AWS servizio ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_passrole.html) nella * IAM User Guide. *
**Per creare un ruolo IAM per Amazon RDS Enhanced Monitoring**
1. Apri la console [https://console.aws.amazon.com/iam/home?#home](https://console.aws.amazon.com/iam/home?#home) IAM all'indirizzo. [ https://console.aws.amazon.com ](https://console.aws.amazon.com/)
1. Nel pannello di navigazione, seleziona **Roles** (Ruoli).
1. Selezionare **Create role (Crea ruolo)**.
1. Scegliere la scheda **Servizio AWS ** quindi seleziona **RDS** dall’elenco di servizi.
1. Scegli **RDS - Enhanced Monitoring** (RDS - Monitoraggio avanzato), quindi seleziona **Next (Avanti)**.
1. Assicurati che siano ** ** visualizzate le politiche di autorizzazione ** AmazonRDSEnhancedMonitoringRole**, quindi scegli ** Avanti**.
1. In **Nome ruolo**, immetti un nome per il ruolo. Ad esempio, specifica **emaccess**.
L'entità affidabile per il tuo ruolo è il AWS servizio ** ** monitoring.rds.amazonaws.com.
1. Scegli **Crea ruolo**.
## Attivazione e disattivazione del monitoraggio avanzato
Puoi gestire il monitoraggio avanzato utilizzando l'API,, o RDS. Console di gestione AWS AWS CLIÈ possibile impostare granularità diverse per la raccolta delle metriche su ogni istanza database.
### Console
È possibile attivare Enhanced Monitoring quando si crea un'istanza DB, un cluster Multi-AZ DB, un o una replica di lettura oppure quando si modifica un'istanza DB o un cluster di DB. Se si modifica un’istanza database per attivare il monitoraggio avanzato, non è necessario riavviare l’istanza database per rendere effettive le modifiche.
È possibile abilitare il monitoraggio avanzato nella console RDS quando si esegue una delle seguenti operazioni nella pagina **Databases (Database)**:
+ **Crea un'istanza Multi-AZ DB o un **: scegli ** Crea database**.
+ **Creazione di una replica di lettura**: scegli **Actions** (Operazioni), quindi **Create read replica (Crea replica di lettura)**.
+ **Modifica un'istanza DB o un cluster DB **: scegli ** Modifica**.
**Per attivare o disattivare Monitoraggio avanzato nella console RDS**
1. Scorri fino a **Additional configuration (Configurazione aggiuntiva)**.
1. In **Monitoraggio**, scegli **Abilita monitoraggio avanzato** per l’istanza database o la replica di lettura. Deseleziona l’opzione per disabilitare il monitoraggio avanzato.
1. Imposta la ** proprietà ** Monitoring Role sul ruolo IAM che hai creato per consentire ad Amazon RDS di comunicare con Amazon CloudWatch Logs per te, oppure scegli ** Predefinito per ** fare in modo che RDS crei un ruolo con il tuo nome. `rds-monitoring-role`
**Nota**
Se il role manager è abilitato nel tuo account, Amazon RDS assegna il ruolo per te e le opzioni di ruolo descritte qui vengono sostituite da un'opzione Personalizza. ** ** Per utilizzare un ruolo diverso, scegli ** Personalizza. ** Per maggiori informazioni, consulta la creazione del ruolo [ IAM ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create.html) nella * IAM User Guide*.
1. Impostare la proprietà **Granularità** sull’intervallo, in secondi, tra i punti quando le metriche vengono raccolte per l’istanza database o la replica di lettura. La proprietà **Granularity (Granularità)** può essere impostata su uno dei valori seguenti: `1`, `5`, `10`, `15`, `30` oppure `60`.
L'intervallo più veloce in cui la console RDS si aggiorna è ogni 5 secondi. Se si imposta la granularità su 1 secondo nella console RDS, vengono comunque visualizzati parametri aggiornati solo ogni 5 secondi. Puoi recuperare gli aggiornamenti delle metriche in 1 secondo utilizzando Logs. CloudWatch
### AWS CLI
Per attivare il monitoraggio avanzato utilizzando AWS CLI, nei seguenti comandi, imposta l'`--monitoring-interval`opzione su un valore diverso da `0` e imposta l'`--monitoring-role-arn`opzione sul ruolo in cui hai creato. [Creazione di un ruolo IAM per Enhanced Monitoring](#USER_Monitoring.OS.Enabling.Prerequisites)
+ [create-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html)
+ [create-db-instance-read-replica](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance-read-replica.html)
+ [modify-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html)
+ [create-db-cluster (cluster DB](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-cluster.html)) Multi-AZ
+ [modify-db-cluster ](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-cluster.html) (cluster DB) Multi-AZ
L'opzione `--monitoring-interval` specifica l'intervallo, in secondi, tra i punti quando vengono raccolti i parametri di monitoraggio avanzato. I valori validi per l'opzione sono `0`, `1`, `5`, `10`, `15`, `30` e `60`.
Per disattivare il monitoraggio avanzato utilizzando il AWS CLI, imposta l'`--monitoring-interval`opzione su in questi comandi. `0`
**Example**
Nell'esempio seguente viene attivato il monitoraggio avanzato per un'istanza database:
Per Linux, macOS o Unix:
```
aws rds modify-db-instance \
--db-instance-identifier {{mydbinstance}} \
--monitoring-interval {{30}} \
--monitoring-role-arn {{arn:aws:iam::123456789012:role/emaccess}}
```
Per Windows:
```
aws rds modify-db-instance ^
--db-instance-identifier {{mydbinstance}} ^
--monitoring-interval {{30}} ^
--monitoring-role-arn {{arn:aws:iam::123456789012:role/emaccess}}
```
**Example**
L'esempio seguente attiva il monitoraggio avanzato per un cluster Multi-AZ DB:
Per Linux, macOS o Unix:
```
aws rds modify-db-cluster \
--db-cluster-identifier {{mydbcluster}} \
--monitoring-interval {{30}} \
--monitoring-role-arn {{arn:aws:iam::123456789012:role/emaccess}}
```
Per Windows:
```
aws rds modify-db-cluster ^
--db-cluster-identifier {{mydbcluster}} ^
--monitoring-interval {{30}} ^
--monitoring-role-arn {{arn:aws:iam::123456789012:role/emaccess}}
```
### API RDS
Per attivare il monitoraggio avanzato utilizzando l'API RDS, imposta il parametro `MonitoringInterval` su un valore diverso da `0` e imposta il parametro `MonitoringRoleArn` sul ruolo creato in [Creazione di un ruolo IAM per Enhanced Monitoring](#USER_Monitoring.OS.Enabling.Prerequisites). Imposta questi parametri nelle seguenti operazioni:
+ [CreateDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstance.html)
+ [CreateDBInstanceReadReplica](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstanceReadReplica.html)
+ [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html)
+ [CreateDBCluster ](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBCluster.html) (cluster DB) Multi-AZ
+ [Modifica DB Cluster (cluster DB](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBCluster.html)) Multi-AZ
Il parametro `MonitoringInterval` specifica l'intervallo, in secondi, tra i punti quando vengono raccolti i parametri di monitoraggio avanzato. I valori validi sono `0`, `1`, `5`, `10`, `15`, `30` e `60`.
Per disattivare il monitoraggio avanzato utilizzando l'API RDS, imposta `MonitoringInterval` su `0`.
## Protezione dal problema del "confused deputy"
Il problema confused deputy è un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire un’azione può costringere un’entità maggiormente privilegiata a eseguire l’azione. In AWS, l'impersonificazione tra servizi può causare il confuso problema dei vice. Cross-service l'imitazione può avvenire quando un servizio (il servizio * chiamante*) chiama un altro servizio (il servizio chiamato). * * Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l’accesso alle risorse del tuo account. Per ulteriori informazioni, consulta [Problema del "confused deputy"](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html).
Per limitare le autorizzazioni relative alle risorse che Amazon RDS può fornire a un altro servizio, si consiglia di utilizzare le chiavi di contesto delle condizioni globali `aws:SourceArn` e `aws:SourceAccount` in una policy di attendibilità per il tuo ruolo di monitoraggio avanzato. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, devono utilizzare lo stesso ID account.
Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale `aws:SourceArn` con l'ARN completo della risorsa. Per Amazon RDS, imposta `aws:SourceArn` su `arn:aws:rds:{{Region}}:{{my-account-id}}:db:{{dbname}}`.
L'esempio seguente usa le chiavi di contesto delle condizioni globali `aws:SourceArn` e `aws:SourceAccount` in una policy di affidabilità per prevenire il problema del "confused deputy".
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "monitoring.rds.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringLike": {
"aws:SourceArn": "arn:aws:rds:{{Region}}:{{my-123456789012}}:db:{{dbname}}"
},
"StringEquals": {
"aws:SourceAccount": "{{my-123456789012}}"
}
}
}
]
}
```
------