Zero-day уязвимости в AWS CloudFormation и AWS Glue.

В середние января Orca Security (израильский стартап в области облачной кибербезопасности с офисом разработке в Минске) опубликовал отчёты о двух найденных критических уязвимостях в инфраструктуре AWS:

1. Ability to gain control plane access to a CloudFormation host and retrieve its AWS credentials:
https://orca.security/resources/blog/aws-cloudformation-vulnerability/

2. Cross-account access via AWS Glue:
https://orca.security/resources/blog/aws-glue-vulnerability/

Обе уязвимости были полностью устранены через несколько дней после сообщения.

Позже были опубликованы Security Bulletins:
https://aws.amazon.com/security/security-bulletins/AWS-2022-001/
https://aws.amazon.com/security/security-bulletins/AWS-2022-002/

Привет! Перешел на новую ECS консоль. Теперь не вижу как через UI задавать Soft лимиты на память контейнеров (memoryReservation), а не только хард (memory). Также не вижу возможности ткнуть кнопку и отредактировать JSON. Может кто подскажет?

В общем решил вчерашний вопрос с пайплайном, отказался от него, создал инстанс, настроил его как надо, сделал из него image и template, потом их запихнул в auto scaling groups и всё запускается как надо, в связи с этим новый вопрос, вот у меня стоит мощность 0, ставлю 1, у меня поднимается инстанс, всё окей, допустим у меня он занялся, я ставлю мощность 2, чтобы один инстанс был у меня в запасе, второй занялся, ставлю 3, первый инстанс у меня посчитал, я хочу его отключить, но если я поставлю мощность 2, как ему отметить инстанс для отключения?

я видел там какой-то протекшин, это оно?

приветик есть вопросец - что делать если не хватает лимита правил для ALB и хотелось бы вкорячить что-нибудь перед ним чтобы разруливать на разные лоадбалансеры? в принципе можно еще правила разруливать на уровне клаудфронта. apiGateway не дает засовывать вайлдкарды в путь, а nlb не может в правила. получается только cloudfront или еще что то можно использовать?

так можно запросить увеличение лимита

а для правил на alb дают?

агась, и для nlb тоже

nlb же без правил)

Всем привет, пытаюсь разобратся с эндоинтами:
Есть fargate таска которая запускает image который лежит тут же в AWS registry
Хочу сделать чтобы она его забирала через VPC Endpoint но что то не могу понять как.
Я сделал Endpoint на ecr api, получил для него DNS vpce...
И вот дальше не могу понять как мне теперь в fargate task указать image? DNS эндпоинта/путь-к-имаджу?
Я вроде так попробовал, говорит не могу отрезолвить имя.

А фаргейт сервис внтури этого VPC?

Если вы имеете в виду сервис внутри ECS кластера то я не создавал отдельный сервис, таска запускается из лямбды питоном через boto3

Я сейчас смотрю что если создавать новый кластер то там всего одна опция по настройкам сети - Create VPC, а выбрать уже существующую сеть нельзя.
И если ты ее не создаешь то я так понимаю что он запускается где то в своей амазоновской сети, а не в твоей VPC?

В вашей дефолтной

Хм, ну она у меня одна. Так я в правильную сторону думал что image надо указывать в таске в виде ECR-VPC-Endpoint-DNS-Name/registry/image:tag?

Я попробовал еще раз запустить, Subnet Id запущенной таски правильный, в этом же subnet и Endpoint находится

Здравсвтуйте, кто нибудь поднимал ec2 instances на с AWS Java SDK? ( Здась наверное все 😂)

Я хотела просить как ждать с waiter до того момента пока у instance не будет public DNS? Я сейчас поднимаю инстанс и не знаю каким из waiterMethods пользоваться? Достаточно ли поднять и ждать с isInstanceRunning и потом еще раз requst-нуть public DNS?

Такс скоро конфа в Цюрихе кто едет?

какая именно, где почитаьть ?