@whileFalse @akira 感谢两位的兴趣, 请允许我解释一下(看来我文章里面没有说清楚, 这一段回头也得加进去).

我们做这样设定的初衷是为了安全, 首先, 我们觉得 IAM User 不够安全, 所以我们设立了一个登录账号, 专门用来对接我们的 sso 服务. 用户 assume 了一个登录账号里的一个 IAM Role, 然后再 assume 另外一个 role, 去到他 /她真正要使用的账户.

然后, 我们做这些设定是认为总有一天我们的某一个账号会因为误用而导致被人拿到 Administrator 级的权限, 那么为了减少相关的影响, 我们不应该把所有的服务全部放到一个账号里面, 甚至也不应该把所有生产环境下的服务放到一个账号里去. 因为如果一个服务被人拿到权限, 那么所有的服务都会受影响, 因此, 多账号对于我们而言是必要的. 我上面写的这篇文章就是针对多个 AWS 账号的管理的一个方案, 这种方案各个公司多少都有, AWS 甚至还有 Control Tower 服务可以供使用, 但是我们觉得用 Eventbridge 来管理更适合我们.

如果你使用了多个 AWS 账号, 在费用上不会增加特别多, 真正增加的是你的管理成本, 尤其是几年之后你是否还能有效地管理这样的多账号环境, 每个账号里是否有配置漂移的情况, 我们觉得使用一个 DSL 并使用 CICD 来强制收敛是一个更好的选择.

@whileFalse 单独回答一下你的疑问. 我们不是做 SAAS, 在 AWS 层面, 也不是一个用户一个账号. 作为程序员, 张三和李四都可以通过两次 assume role 进入到要用的同一个账户里面去, 第二次 assume role 时使用的 Role 也是一样的. 方便讨论, 我们来一个假设的场景吧. 一个游戏公司里有多个工作室, 每个工作室有三个账号, 一个开发, 一个外部测试, 一个生产. 现在我们新开了一个工作室, 要加新 AWS 账号. 那么我们会要求主程去一个 repo 提一个 PR, 在一个 yml 文件里面添加新账号的定义. Infra 批了 PR 后进入自动化流程. 回头来看你的评论, 我不太确认你说的权限应该在 Code 层面完成是什么意思. 不过我认可你说的 merge 之后这个操作是被 Infra 同学认可了. 但是, 我们目前这个自动化流程是跑在专门的 cicd 账号里的, 不是 master, 所以没有办法直接创建 AWS 账号. 我们通过文章里提到的办法通过发消息来让 cicd 账号控制 master 账号, 创建新 AWS 账号. 至于这个账号里面的 Admin Role, 都是允许从那个特殊的`identity`账号来 assume role, 具体谁有权限是在那个账号管理的. 或者之前一篇文章里的一个图能够帮助你的理解: https://blog.xiaket.org/media/2020/okta-identity-destination.png

谢谢你们的提问, 让我意识到文章里面还有缺失的地方, 解释工作做得不够好, 我晚上改改.

@xupefei 谢谢, 我们自己实现 jsonnet 那层逻辑也不算太大负担, 我现在只是有点后悔没用 toml.

你用云服务前不查一下收费方式的吗? 心真大...

@joesonw 谢谢! 我们的全部基础设施也都在 aws 上. 看过 ConsoleMe, 不太喜欢这种自助式服务, 因为担心配置漂移, 另外我们还没有到那种需要为几百几千个人提供访问权限的程序.

@Cabana 我是先用英文写的, 这两天放假有空全部人肉翻译了一遍再校对润色了一遍.

@wandehul @gtx990 这篇要点在于提供了多账号管理且不需要跨账号 assume role 的方式, 和是否使用 cdk/tf 没什么关系.

另外 @Livid, AWS 区右边的链接似乎可以换成 https://github.com/boto/boto3 和 https://boto3.amazonaws.com/v1/documentation/api/latest/index.html

`strace chmod 777 -v cwzdy.com`看看?

无聊在自己家里面电脑上连去 PS5, 玩 GPSports 卡到怀疑人生...

床前? 这是故意写错的?

ticktick

我在澳洲, 根据我在这儿买 PS5 的经验来说, 放货是一批一批的. 每一批到货时会有零售商放出来. 我在这儿关注 twitter 上的几个账号, 收到提醒时下手买就行了. 所以还比较简单, 国内竞争激烈, 而且渠道相对感觉会更不透明, 所以祝诸位好运...

当然最近几周 ps5 放货好像比较多了. 虽然(本地)仍然是不到一小时售罄, 但是总比之前几分钟卖完要好多了.

ref: https://blog.xiaket.org/2021/2104.html#ps5

我最近是买了 vg10 的三德刀, 一两个月磨一次.

很久很久以前看过, 对一个新的 DSL 完全不感兴趣. bash 是工业标准, 如果说未来前端的 js 还有可能会被替代的话, bash/sh 语法是基本肯定不会被替代的, 所以作为一个后端人员, 掌握 bash 是必须的, 而 bash 里面就已经够多坑了, 没必要开新坑.

仔细看 man, 有-c 的

各级 DNS 缓存无法控制, DNS 服务器为了压榨性能故意不遵守协议里的 TTL 长期缓存下去你拿它真没什么办法. 这种 TTL hack 只能用于不太重要的功能. 重要的功能比如版本升级判定, 搞个很小的 json 放 cdn 会更好.

转念一想, 自己有好多年没这样并行跑命令了...

等 iOS 版, 会有 testflight 吗?

Castro 也挺好用