amazon-web-services - 在计费 panic 中锁定公共(public)站点访问

Question

作为 AWS 海洋中的一条小鱼，最可怕的事情之一是，在公开服务上发生大量交易这种不太可能发生的情况下，似乎要承担无限责任。 AWS 是为大人物设计的，对他们来说可用性是最重要的。在保持服务正常运行方面付出了巨大的努力，但在将我们从天文数字账单中拯救出来时显然没有付出任何努力。亚马逊似乎一再被要求设置支出上限，但 AFAIK，他们想出的最好办法就是账单提醒。我读过一些恐怖故事，比如有人为家人和 friend 建立了一个小网站，却收到了 10,000 美元的账单。亚马逊做得最好的是提供账单提醒，如果你挂了怎么办？相当大的一笔钱可能会在您关闭之前消失。

因此，我的狡猾计划 - 编写一个从计费阈值事件中触发的 Lambda，该事件会升起吊桥并关闭所有面向公众的设施。

因此，我开始使用 CloudFront，这非常可行，但禁用分发需要一些时间来传播。

现在我们来谈谈我的第一个技术难题。我以为我可以检查所有存储桶的公共(public)权限并撤销它们。但是，自从我上次详细查看 S3 以来，就有了这个静态网站设置。那么，我该如何以编程方式关闭它呢？显然我不想删除存储桶。令我惊讶的是，打开它不会在 ACL 中创建公共(public)许可。 API 中有一项服务可以更新这些静态网站之一的属性，但不能撤销它。

和API网关好像有点雷同。您可以删除 API，但不能暂停它。如果你删除它，那么重建可能会给你一个不同的主机名，这会造成一些麻烦。

我正在尝试编写一个相当通用的 Lambda 并将其公开。

Answer 1

回答您的问题...

对于API网关，您可以通过creating锁定它。或 updating使用计划将节流速率限制为 0。这意味着对该 API 的任何请求都将以 HTTP 429 — To many requests 响应。过去，AWS 确实对受限请求收费，但自 2016 年以来，that is no longer the case ，因此节流速率限制为 0 将阻止您的 API 被使用或产生费用。 (如果想立即锁定，也应该同时将 throttle 爆破设置为0。)

对于 S3，您可以通过 blocking all public access 锁定存储桶for the entire account或 for a specific bucket .

更简单的方法

话虽如此，我认为有一个更简单的解决方案可以解决所有这些问题。您可以将 API 网关用作 proxy endpoint for S3或 pretty much any AWS service .然后，您可以使用每月、每周或每天的配额为该端点设置 UsagePlan，这会限制允许对该 API 网关端点的 API 请求总数。

这样做的好处在于，您不必只对预算通知使用react。您可以主动设置网站使用量的限制。但是，您确实需要记住，这种方法并不能完全保护您免受巨额账单的影响。 (如果您允许公共(public)访问将文件上传到您的 S3 存储桶，则可能有人会上传一个 5TB 的文件，这将产生大约 100 美元/月的存储成本。但是，这种情况不太可能发生，并且很容易通过不允许上传。)您还需要了解您使用的服务的定价模型，以便对您的代理 API 设置适当的限制。