Listener su porta 443 con errore 503 in caso di non riscontro tra le regole<\/li><\/ul><\/li><\/ul>\n\n\n\nVPC<\/h2>\n\n\n\n
La VPC \u00e8 composta da 9 subnet<\/strong>, 3 per ogni Avaliability Zone, in maniera tale da rendere l\u2019infrastruttura altamente disponibile. Le subnet sono suddivise in:<\/p>\n\n\n\n- PUBBLICHE, utilizzate per tutti i servizi che devono essere raggiunti dall\u2019esterno (come l\u2019ALB) o se si vuole esporre direttamente un\u2019istanza EC2 su internet assegnandole un indirizzo IP pubblico dedicato.<\/li>
- NATTATE, utilizzate per tutti i servizi che necessitano di accedere ad internet, ma che non devono essere raggiunti dall\u2019esterno; come suggerito dal nome, le istanze che verranno create all\u2019interno di queste subnet potranno accedere ad internet tramite dei NAT gateway che risiedono nelle relative subnet pubbliche. Nel nostro caso, abbiamo scelto di optare per le 3 istanze (una per AZ) solo per la VPC di produzione, mentre per gli altri ambienti manterremo una sola istanza.<\/li>
- PRIVATE, utilizzate per tutti i servizi che non necessitano di accesso ad internet come database RDS.<\/li><\/ul>\n\n\n\n
Il costrutto VPC che ci mette a disposizione AWS CDK ha una gestione dei CIDR assegnati alle subnet che rende impossibile effettuare supernetting, privandoci quindi della possibilit\u00e0 di raggruppare le subnet con netmask piu piccole. Abbiamo quindi deciso di utilizzare questo costrutto, assicurandoci per\u00f2 di sovrascrivere i vari CIDR prima del deploy tramite questa porzione di codice:<\/p>\n\n\n\n
myVpc.privateSubnets.forEach((subnet, index) => {\nlet cidr = `${startSubnetsCidr}.${firstPrivateCidr + index}.${endSubnetsCidr}`\nconst cfnSubnet = subnet.node.defaultChild as aws_ec2.CfnSubnet;\ncfnSubnet.addPropertyOverride('CidrBlock', `${cidr}`);\nlet name = `${configFile.projectName}-${process.env.ENVIRONMENT}-natted-${subnet.availabilityZone.replace(\/^\\w+\\-\\w+\\-\\d\/,'')}`;\nlet subName = `Subnet-Natted-${subnet.availabilityZone.replace(\/^\\w+\\-\\w+\\-\\d\/,'').toUpperCase()}-${process.env.ENVIRONMENT}-Name`;\nlet subId = `Subnet-Natted-${subnet.availabilityZone.replace(\/^\\w+\\-\\w+\\-\\d\/,'').toUpperCase()}-${process.env.ENVIRONMENT}-ID`;\nlet subCidr = `Subnet-Natted-${subnet.availabilityZone.replace(\/^\\w+\\-\\w+\\-\\d\/,'').toUpperCase()}-${process.env.ENVIRONMENT}-CIDR`;\ncdk.Aspects.of(subnet).add(\nnew cdk.Tag(\n'Name',\nName\n)\n)\n})<\/code><\/pre>\n\n\n\nRilasciata la VPC possiamo deployare al suo interno tutte le risorse necessarie per far funzionare la vending machine come ad esempio gli Application Load Balancer<\/strong> nelle subnet pubbliche, i Web Server<\/strong> nelle subnet nattate, e i database<\/strong> dedicati ai Web Server nelle subnet private. <\/p>\n\n\n\nAffronteremo, nel prossimo articolo, la creazione di queste risorse.<\/p>\n\n\n\n
Bucket Amazon S3<\/h2>\n\n\n\n
Il bucket S3 creato da questo stack viene utilizzato per stoccare i log, gli artifact e il risultato dei git push su GitLab; vengono inoltre assegnati relativi permessi per i ruoli IAM garantendo full access al bucket, e vengono create le removal policy per i log stoccati:<\/p>\n\n\n\n
const myLifeCycleLogsRule: aws_s3.LifecycleRule = {\n\tid: `logs-cleared`,\nenabled: true,\nprefix: `*-${process.env.ENVIRONMENT}-log`,\nexpiration: cdk.Duration.days(1)\n}<\/code><\/pre>\n\n\n\nPer poter utilizzare il bucket S3 come sorgente della pipeline occorre attivare il servizio CloudTrail<\/strong> per garantire la possibilit\u00e0 di intercettare gli eventi:<\/p>\n\n\n\nconst myTrail = new aws_cloudtrail.Trail(this, `CloudTrail-${process.env.ENVIRONMENT}`, {\ntrailName: `trail-${process.env.ENVIRONMENT}`,\nsendToCloudWatchLogs: true,\nbucket: myGlobalBucketS3,\nencryptionKey: myKms,\ncloudWatchLogGroup: new aws_logs.LogGroup(this, `Logs-${upperEnvironment}`, {\nlogGroupName: `logs-${process.env.ENVIRONMENT}`,\nretention: aws_logs.RetentionDays.THREE_DAYS,\nremovalPolicy: RemovalPolicy.DESTROY\n}),\ncloudWatchLogsRetention: aws_logs.RetentionDays.THREE_DAYS,\ns3KeyPrefix: `logs-${process.env.ENVIRONMENT}`,\nisMultiRegionTrail: false\n});<\/code><\/pre>\n\n\n\nMa questo non basta. Per far s\u00ec che la pipeline venga invocata all’inserimento di un nuovo file all\u2019interno del bucket S3 \u00e8 necessario configurare un evento di notifica<\/strong> su CloudTrail che stia in ascolto di operazioni di scrittura all\u2019interno bucket S3:<\/p>\n\n\n\nmyTrail.addS3EventSelector([{\n\tbucket: myGlobalBucketS3,\n\tobjectPrefix: `software\/`,\n\t}], {\n\treadWriteType: aws_cloudtrail.ReadWriteType.WRITE_ONLY,\n})\nmyTrail.addS3EventSelector([{\n\tbucket: myGlobalBucketS3,\n\tobjectPrefix: `infrastructure\/`,\n\t}], {\n\treadWriteType: aws_cloudtrail.ReadWriteType.WRITE_ONLY,\n})<\/code><\/pre>\n\n\n\nKMS Key<\/h2>\n\n\n\n
Per garantire la cifratura dei dati su S3, su CloudTrail, e nel database, abbiamo creato una chiave KMS customer managed<\/strong>. A questa chiave abbiamo successivamente assegnato una policy che permette alle entit\u00e0 che devono operare sui servizi cifrati di poterla utilizzare:<\/p>\n\n\n\nmyKms.addToResourcePolicy( new iam.PolicyStatement({\nsid: \"Allow principals in the account to decrypt log files\",\nactions: [\n\"kms:Decrypt\",\n\"kms:ReEncryptFrom\"\n],\nprincipals: [ new iam.AccountPrincipal(`${process.env.CDK_DEFAULT_ACCOUNT}`) ],\nresources: [\n`arn:aws:kms:${process.env.CDK_DEFAULT_REGION}:${process.env.CDK_DEFAULT_ACCOUNT}:key\/*`,\n],\nconditions: {\n\"StringLike\": {\n\"kms:EncryptionContext:aws:cloudtrail:arn\": \"arn:aws:cloudtrail:*:*:trail\/*\"\n},\n\"StringEquals\": {\n\"kms:CallerAccount\": `${process.env.CDK_DEFAULT_ACCOUNT}`\n}\n}\n}));<\/code><\/pre>\n\n\n\nApplication Load Balancer<\/h2>\n\n\n\n
Questo ALB gestir\u00e0 gli accessi ai nostri servizi indirizzandoli in automatico dalla porta 80 in HTTP alla porta 443 in HTTPS:<\/p>\n\n\n\n
myAppLoadBalancer.addListener(`App-80-Listener`, {\nport: 80,\ndefaultAction: elbv2.ListenerAction.redirect({\npermanent: true,\nport: '443',\nprotocol: 'HTTPS',\n})\n})\nmyAppLoadBalancer.addListener(`App-443-Listener`, {\nport: 443,\ndefaultAction: elbv2.ListenerAction.fixedResponse(503, {\ncontentType: `text\/plain`,\nmessageBody: 'host not found',\n})\n})<\/code><\/pre>\n\n\n\nPer porter gestire le richieste effettuate in https sulla porta 443 \u00e8 necessario che sia associato al relativo listener un certificato facilmente configurabile tramite il servizio AWS Certificate Manager, che oltre alla creazione dei certificati permette anche l\u2019aggiornamento automatico degli stessi. <\/p>\n\n\n\n
Conclusione<\/h2>\n\n\n\n
Le risorse configurate all\u2019interno di questo repository costituiscono le fondamenta per l\u2019intera soluzione. <\/p>\n\n\n\n
Nella prossima puntata analizzeremo lo stack applicativo dedicato a ciascun cliente che utilizza i servizi che abbiamo visto oggi. <\/p>\n\n\n\n
Per avere una soluzione solida dal punto di vista di sicurezza e scalabilit\u00e0 \u00e8 necessario che ci\u00f2 che la mantiene in piedi sia altrettanto affidabile: per questo motivo ci siamo appoggiati unicamente a servizi gestiti da AWS, riducendo quindi l\u2019effort di amministrazione e monitoring.<\/p>\n\n\n\n
Ci vediamo tra 14 giorni per l’ultimo capitolo! <\/p>\n\n\n\n
\n\n\n\nAbout Proud2beCloud<\/h4>\n\n\n\n
Proud2beCloud \u00e8 il blog di beSharp<\/a>, APN Premier Consulting Partner italiano esperto nella progettazione, implementazione e gestione di infrastrutture Cloud complesse e servizi AWS avanzati. Prima di essere scrittori, siamo Solutions Architect che, dal 2007, lavorano quotidianamente con i servizi AWS. Siamo innovatori alla costante ricerca della soluzione pi\u00f9 all’avanguardia per noi e per i nostri clienti. Su Proud2beCloud condividiamo regolarmente i nostri migliori spunti con chi come noi, per lavoro o per passione, lavora con il Cloud di AWS. Partecipa alla discussione!<\/p>\n","protected":false},"excerpt":{"rendered":"Bentornati nella nostra mini-serie dedicata al Platform-as-a-Services su AWS. Nella prima parte, abbiamo percorso i punti chiave di una implementazione […]<\/p>\n","protected":false},"author":24,"featured_media":5023,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[241],"tags":[315,537,251,291,293,285,364,360,600,602,604],"yoast_head":"\n
PaaS su AWS: come implementarlo nel modo migliore - Parte II - Proud2beCloud Blog<\/title>\n<meta name=\"description\" content=\"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"PaaS su AWS: come implementarlo nel modo migliore - Parte II\" \/>\n<meta property=\"og:description\" content=\"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale\" \/>\n<meta property=\"og:url\" content=\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/\" \/>\n<meta property=\"og:site_name\" content=\"Proud2beCloud Blog\" \/>\n<meta property=\"article:published_time\" content=\"2022-10-14T07:00:00+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2022-10-14T10:18:49+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2022\/10\/Copertina-blog-14-10-22-copia_14-10-22-social-ita.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1200\" \/>\n\t<meta property=\"og:image:height\" content=\"628\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Antonio Callegari\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:title\" content=\"PaaS su AWS: come implementarlo nel modo migliore - Parte II\" \/>\n<meta name=\"twitter:description\" content=\"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale\" \/>\n<meta name=\"twitter:image\" content=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2022\/10\/Copertina-blog-14-10-22-copia_14-10-22-social-ita.png\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"Antonio Callegari\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"6 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/\",\"url\":\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/\",\"name\":\"PaaS su AWS: come implementarlo nel modo migliore - Parte II - Proud2beCloud Blog\",\"isPartOf\":{\"@id\":\"https:\/\/blog.besharp.it\/it\/#website\"},\"datePublished\":\"2022-10-14T07:00:00+00:00\",\"dateModified\":\"2022-10-14T10:18:49+00:00\",\"author\":{\"@id\":\"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/980d9719e11f1d62bfb85ae2c78bba28\"},\"description\":\"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale\",\"breadcrumb\":{\"@id\":\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/blog.besharp.it\/it\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"PaaS su AWS: come implementarlo nel modo migliore – Parte II\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/blog.besharp.it\/it\/#website\",\"url\":\"https:\/\/blog.besharp.it\/it\/\",\"name\":\"Proud2beCloud Blog\",\"description\":\"il blog di beSharp\",\"alternateName\":\"Proud2beCloud Blog\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/blog.besharp.it\/it\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/980d9719e11f1d62bfb85ae2c78bba28\",\"name\":\"Antonio Callegari\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/8e56339cc88d9062c917820606727f83?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/8e56339cc88d9062c917820606727f83?s=96&d=mm&r=g\",\"caption\":\"Antonio Callegari\"},\"description\":\"DevOps Engineer @ beSharp. Born as a hardware-addicted, \u201cclassic\u201d system engineer, I also like jumping to the dark side: the Cloud! And you know the effect that this mix can make :) Hand-making is my first choice, but a bit of high-quality automation is welcome in my projects. My free time is split between my family and the music, both as a player, and sound engineer.\",\"url\":\"https:\/\/blog.besharp.it\/it\/author\/antonio-callegari\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"PaaS su AWS: come implementarlo nel modo migliore - Parte II - Proud2beCloud Blog","description":"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/","og_locale":"it_IT","og_type":"article","og_title":"PaaS su AWS: come implementarlo nel modo migliore - Parte II","og_description":"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale","og_url":"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/","og_site_name":"Proud2beCloud Blog","article_published_time":"2022-10-14T07:00:00+00:00","article_modified_time":"2022-10-14T10:18:49+00:00","og_image":[{"width":1200,"height":628,"url":"https:\/\/blog.besharp.it\/wp-content\/uploads\/2022\/10\/Copertina-blog-14-10-22-copia_14-10-22-social-ita.png","type":"image\/png"}],"author":"Antonio Callegari","twitter_card":"summary_large_image","twitter_title":"PaaS su AWS: come implementarlo nel modo migliore - Parte II","twitter_description":"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale","twitter_image":"https:\/\/blog.besharp.it\/wp-content\/uploads\/2022\/10\/Copertina-blog-14-10-22-copia_14-10-22-social-ita.png","twitter_misc":{"Scritto da":"Antonio Callegari","Tempo di lettura stimato":"6 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/","url":"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/","name":"PaaS su AWS: come implementarlo nel modo migliore - Parte II - Proud2beCloud Blog","isPartOf":{"@id":"https:\/\/blog.besharp.it\/it\/#website"},"datePublished":"2022-10-14T07:00:00+00:00","dateModified":"2022-10-14T10:18:49+00:00","author":{"@id":"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/980d9719e11f1d62bfb85ae2c78bba28"},"description":"Creazione di un PaaS su AWS: In questo articolo, analizziamo un PaaS dal punto di vista dello stack infrastrutturale","breadcrumb":{"@id":"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/blog.besharp.it\/it\/paas-su-aws-come-implementarlo-nel-modo-migliore-parte-ii\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/blog.besharp.it\/it\/"},{"@type":"ListItem","position":2,"name":"PaaS su AWS: come implementarlo nel modo migliore – Parte II"}]},{"@type":"WebSite","@id":"https:\/\/blog.besharp.it\/it\/#website","url":"https:\/\/blog.besharp.it\/it\/","name":"Proud2beCloud Blog","description":"il blog di beSharp","alternateName":"Proud2beCloud Blog","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/blog.besharp.it\/it\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"it-IT"},{"@type":"Person","@id":"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/980d9719e11f1d62bfb85ae2c78bba28","name":"Antonio Callegari","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/8e56339cc88d9062c917820606727f83?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/8e56339cc88d9062c917820606727f83?s=96&d=mm&r=g","caption":"Antonio Callegari"},"description":"DevOps Engineer @ beSharp. Born as a hardware-addicted, \u201cclassic\u201d system engineer, I also like jumping to the dark side: the Cloud! And you know the effect that this mix can make :) Hand-making is my first choice, but a bit of high-quality automation is welcome in my projects. My free time is split between my family and the music, both as a player, and sound engineer.","url":"https:\/\/blog.besharp.it\/it\/author\/antonio-callegari\/"}]}},"_links":{"self":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/posts\/5017"}],"collection":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/users\/24"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/comments?post=5017"}],"version-history":[{"count":0,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/posts\/5017\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/media\/5023"}],"wp:attachment":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/media?parent=5017"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/categories?post=5017"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/tags?post=5017"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}