software

从检测到解决：用于管理 AWS CloudFormation 漂移的闭环系统

发布: (2025年12月3日 GMT+8 11:50)
5 min read
原文: Dev.to

Source: Dev.to

解决方案：交互式漂移管理工具

与其再添加一个导致警报疲劳的通知系统，这个方案创建了一个交互式工作流。它提供可操作的警报，使工程师能够直接在 Slack 中做出决策。通过允许团队正式 “确认 (Acknowledge)” 或 “忽略 (Ignore)” 检测到的漂移，系统能够：

  • 为混乱带来秩序
  • 创建清晰的审计轨迹
  • 让团队专注于最重要的事务

架构蓝图：闭环系统

该方案超越了简单的通知，构建了一个完整的、用于大规模管理配置漂移的闭环系统。它基于事件驱动、无服务器组件，不仅提供信息，还提供控制能力。

触发器（AWS Config）

流程从 AWS Config 服务开始。使用内置规则 cloudformation-stack-drift-detection-check，Config 持续监控你的 CloudFormation 堆栈。当堆栈的实际配置与其模板不一致时，Config 将其标记为 NON_COMPLIANT。

路由器（Amazon EventBridge）

NON_COMPLIANT 状态会作为事件发布。Amazon EventBridge 规则监听来自 AWS Config 的这些事件，并将事件负载转发给第一个 AWS Lambda 函数进行处理。

通知器（AWS Lambda）

第一个 Lambda 函数充当初始警报机制。它由 EventBridge 事件触发，执行两项关键操作：

  1. 检查漂移的堆栈是否包含值为 true 的 MONITOR_DRIFT 标签。
  2. 若标签存在，构建一条富媒体通知——包括 “确认 (Acknowledge)” 和 “忽略 (Ignore)” 按钮——并发送到指定的 Slack 频道，提供即时可见性和直接的行动呼吁。

状态管理器（AWS Lambda、API Gateway 与 DynamoDB）

第二个独立的工作流处理交互式状态管理：

  • 一个 AWS Lambda 函数将漂移堆栈的详细信息持久化到 Amazon DynamoDB 表中，创建集中化的事实来源。
  • 当工程师在 Slack 消息中点击 “确认” 或 “忽略” 时，动作会发送到 Amazon API Gateway 端点。
  • API Gateway 调用触发状态管理 Lambda，更新 DynamoDB 中对应堆栈的状态。这使团队能够管理优先级、通过忽略已知漂移来降低警报噪声，并保持清晰的审计轨迹。

实践步骤

将堆栈加入此管理系统非常简单。要为任意 CloudFormation 堆栈启用漂移检测和交互式警报，只需执行以下一步操作：

为堆栈添加标签 MONITOR_DRIFT，并将其值设为 true。

标记后，堆栈会自动被系统捕获。任何后续漂移都会触发 Slack 中的交互式通知，让你的团队立即开始管理。

代码背后：交互式 Slack 消息

此工作流的关键是交互式 Slack 消息。下面是用于创建带有操作按钮的消息的 JSON 负载的简化示例。

// A simplified look at an interactive Slack message payload
const slackMessage = {
    channel: 'your-drift-alerts-channel',
    text: `*Drift Detected in Stack: YourStackName*`,
    attachments: [
        {
            text: 'A drift from the expected template has been detected. Please review and choose an action.',
            fallback: 'You are unable to choose an action.',
            callback_id: 'drift_action_callback',
            color: '#F35B5B',
            attachment_type: 'default',
            fields: [
                { title: 'Account', value: '123456789012', short: true },
                { title: 'Region', value: 'us-east-1', short: true }
            ],
            actions: [
                {
                    name: 'acknowledge',
                    text: 'Acknowledge',
                    type: 'button',
                    value: 'acknowledged',
                    style: 'primary'
                },
                {
                    name: 'ignore',
                    text: 'Ignore',
                    type: 'button',
                    value: 'ignored'
                }
            ]
        }
    ]
};

此代码片段展示了如何向 Slack 消息添加操作按钮，从而实现交互式工作流。

结论

在大规模环境下实现有效的基础设施管理，需要从被动检测转向主动解决。通过构建闭环、交互式系统，你可以让工程师直接在日常使用的工具中高效管理 CloudFormation 漂移。该架构提供：

  • 强大的审计轨迹
  • 降低警报疲劳
  • 更有组织、优先级明确的基础设施完整性维护方式

它将持续的运维挑战转变为流畅、可管理的过程。

Back to Blog

相关文章

阅读更多 »