一键扫描账户安全，加固云上架构根基

一、为什么传统运维手段不再够用？

许多工程师认为，只要开了服务器，配置了安全组，便足以保障云上业务。但现实往往更复杂：

• 安全漏洞的隐蔽性：公开的S3存储桶、过度宽松的IAM策略，可能因一个配置项就敞开后门
• 稳定性的蝴蝶效应：未配置跨可用区的负载均衡，未备份的EBS数据，一次误操作就可能引起业务雪崩
• 成本的渐进式侵蚀：忘记释放的测试实例、未被整合的碎片化存储，每月默默吞噬预算

传统人工巡检就像用探照灯检查整片森林，而Service Screener则是为您的云环境部署了自动化的监测系统。

二、Service Screener如何重塑架构健康管理？

该工具基于AWS良好架构框架（Well-Architected Framework），可以通过240+自动化检测规则，从良好架构的六大维度为您保驾护航，在此我们优先关注三大核心维度：

1. 安全（Security）：构筑铜墙铁壁

• 权限暴露扫描：识别IAM角色、S3存储桶等资源的过度授权风险
• 数据保护检测：检查EBS卷、RDS数据库的加密状态，定位明文存储隐患
• 合规性验证：比对NIST、 Foundational Technical Review (FTR) 等标准，生成合规差距分析报告

2. 稳定性（Reliability）：打造抗压体系

• 容灾能力评估：检测Auto Scaling配置、多可用区部署等故障恢复机制
• 备份完整性检查：验证快照策略、数据库日志保留周期等关键配置
• 服务限额预警：提前发现即将触达API调用限额的服务，避免突发限流

3. 成本优化（Cost Optimization）：释放隐藏价值

• 资源利用率分析：标记连续7天低负载的EC2实例、未被挂载的EBS卷
• 采购策略建议：根据历史用量推荐Reserved Instances与Savings Plans组合方案
• 存储分层洞察：识别适合迁移至S3 Glacier的低频访问数据

三、技术人最关心的问题

Q1：扫描会影响线上业务吗？

工具采用只读模式运行，零侵入式检测，即使在生产环境也可放心使用。

Q2：如何避免“发现问题却不会修复”？

每项检测结果附带：

• 📚 最佳实践文档 直链
• 🚨 严重性分级（紧急/高/中/低）
• 📚 受影响的具体资源ID

四、开启您的首次扫描

Service Screener 使用AWS CloudShell (AWS 免费工具)，所以使用该方案自动定位您AWS环境中可优化的领域是基本免费的。该工具的github 仓库在此：https://github.com/aws-samples/service-screener-v2 。

使用前提：

• 您需要有一个AWS Account。
• 您需要使用一个IAM User 或者 IAM Role，并有足够的可读权限（ReadOnlyAccess）。
  • 同时，这个IAM User 或者 IAM Role 需要有以下权限：
    • AWSCloudShellFullAccess
    • cloudformation:CreateStack
    • cloudformation:DeleteStack
• 如果您需要这款工具的其他信息，您可以阅读这个文档。

使用说明

• 该说明整理了最核心的使用步骤。

• 如需要其他更详细的使用说明，可以参考Service Screener github 链接 。

• 使用相应的IAM User或者IAM Role来登陆您的AWS Account .

• 在搜索框搜索 “CloudShell” 或直接点击以下 URL, 建议美西2

• 拷贝以下脚本，在AWS CloudShell 终端中运行，以安装Service Screener工具：

python3 -m venv .
source bin/activate
python3 -m pip install —upgrade pip
rm -rf service-screener-v2
git clone https://github.com/aws-samples/service-screener-v2.git
cd service-screener-v2
pip install -r requirements.txt
alias screener="python3 $(pwd)/main.py"

• 通过在CloudShell 中执行以下命令扫描所有 regions：

screener --regions ALL

在命令行系统提示确认时，输入’y’，并回车继续执行。

• 稍等程序执行完毕，具体执行时间基于您AWS Account资源的数量。对于中小型简单部署环境，大约需时5-10分钟。

• 下载生成报告 —— 在CloudShell 服务界面中点击 ’Actions’ 按钮，再点击 ‘Download file’

• 根据提示输入文件路径，并点击 ’Download’

~/service-screener-v2/output.zip

在本地解压打开output.zip，点开accountid下的index.html即可查看网页版的报告。

五、分析账户配置

• Home页，总览账户良好架构不同支柱的情况，点击支柱名称可找到关于该支柱所有发现的风险点

• 点击具体服务，可查看与该服务相关的内容

如果您有深入解读报告的需求，您也可以联系您的客户支持团队，如您不知道您的客户支持团队，可通过此网页获取支持。

结语：让风险治理成为持续过程

云上架构的健康管理不是一次性项目，而是需要持续迭代的工程实践。也可以考虑通过将Service Screener接入您的管理系统，以便实现定期的巡检。