Démarrer

Estimation préalable

Avant toute installation, dormeto aws estimate parcourt vos comptes et estime les économies que Dormeto vous ferait réaliser. Elle indique les workloads inactifs, la durée de leur inactivité et ce que rapporterait leur mise en veille. Installez l'outil en ligne de commande avec l'une des méthodes suivantes :

brew install dormeto/tap/dormeto
curl -fsSL https://dormeto.com/install.sh | sh

Homebrew et le script installent le même programme. Le script vérifie l'empreinte SHA-256 du fichier téléchargé, l'installe dans ~/.local/bin et n'utilise jamais sudo. Sous Windows, téléchargez dormeto_<version>_windows_amd64.zip depuis la dernière release, décompressez-le et placez dormeto.exe dans un dossier de votre PATH. Lancez ensuite l'estimation :

dormeto aws estimate --profile <profile> --uptime

Cette commande fonctionne en lecture seule. Elle se contente de lister et de lire des ressources (équilibreurs de charge, instances, services, métriques, prix), puis écrit un rapport sur votre machine. Elle ne communique qu'avec AWS et les API de vos propres clusters, sans télémétrie ni vérification de mise à jour. Les options (organisations, régions, rapports) sont documentées dans le dépôt Dormeto/cli.

Prérequis

• Des identifiants d'administrateur pour le compte et la région du manager.
• Une organisation AWS. Le manager en liste les comptes au moyen d'une politique de délégation du compte de gestion. Il lit chacun d'eux avec un rôle créé dans le compte (Accès à l'organisation). Un compte seul, hors de toute organisation, convient aussi. La CLI le propose. Avec Terraform, vous définissez discovery_mode = "account" et omettez organization_id.
• Facultatif : un domaine pour le tableau de bord, et sa zone Route 53. Son certificat, dans us-east-1, couvre l'hôte du tableau de bord et son sous-domaine auth.. Sans domaine, le tableau de bord est servi sur un hôte cloudfront.net.
• Facultatif : une identité SES vérifiée pour envoyer les invitations. À défaut, Cognito les envoie lui-même (environ 50 par jour).

Installation

Deux façons d'installer le même manager, à partir de la même version. La CLI dormeto est la plus simple : elle demande ce dont elle a besoin, le vérifie, et exécute Terraform pour vous dans votre compte. Il n'y a rien d'autre à installer, ni d'état Terraform à conserver. Avec votre propre Terraform, le manager est un module dans une configuration que vous gérez.

aws sso login --profile <profile>
dormeto aws install --profile <profile>

# without a terminal: every answer as a flag; it stops after the plan, then apply that plan
dormeto aws install --profile <profile> --admin-emails you@example.com
dormeto aws install apply --profile <profile>

provider "aws" {
  region = "eu-west-1"
}

module "dormeto" {
  source          = "https://releases.dormeto.com/manager/0.21.0/terraform-aws-dormeto-0.21.0.zip//modules/manager"
  env             = "prod"
  organization_id = "o-exampleorgid"
  admin_emails    = ["you@example.com"]
}

output "dashboard_url" {
  value = module.dormeto.dashboard_url
}

terraform init
terraform plan -out=dormeto.tfplan
terraform apply dormeto.tfplan

  domain = {
    dashboard       = "dormeto.example.com"
    auth            = "auth.dormeto.example.com"
    certificate_arn = "arn:aws:acm:us-east-1:111122223333:certificate/…"
    zone_id         = "Z0123456789ABCDEFGHIJ"
  }
  ses_identity = "example.com"
  email_from   = "Dormeto <no-reply@example.com>"

Accès à l'organisation

Le module crée lui-même les rôles du compte du manager. Chaque autre compte à découvrir reçoit DmtDiscoveryRole. Chaque compte où des workloads sont mis en veille reçoit DmtCommandRole. Ils viennent du module d'accès ou du script AWS CLI de la même release, ou de dormeto aws install avec --management-profile. Le compte de gestion reçoit la politique de délégation (Accès à l'organisation). Les workloads sur EKS ont aussi besoin des droits de Dormeto dans leur cluster (Kubernetes).

Première connexion

Chaque adresse indiquée dans admin_emails reçoit une invitation contenant un mot de passe temporaire valable 7 jours. Ouvrez dashboard_url, connectez-vous, choisissez un mot de passe et, si vous le souhaitez, ajoutez un second facteur. Dans Discovery, cliquez sur Run now pour lire votre organisation. Le panneau Organization access liste les comptes dont les rôles sont absents.

Rafraîchissement sur événement

La découverte s'exécute selon sa fréquence de rafraîchissement (quotidienne par défaut). Dans Discovery, les réglages Perimeter permettent d'activer le rafraîchissement sur événement. Le manager installe alors un relais dans chaque compte doté du rôle de commande et d'un trail CloudTrail. Les modifications d'équilibreurs de charge apparaissent en 5 minutes environ. Si vous désactivez ce rafraîchissement, les relais sont supprimés à l'exécution suivante.

Mettre à jour le manager

Trois façons de passer le manager à une version plus récente, chacune montrant le plan avant de l'appliquer. La CLI et le tableau de bord mettent à jour un manager installé avec la CLI. Votre propre Terraform met à jour celui qu'il a installé.

dormeto aws install --profile <profile>                       # the latest release
dormeto aws install --profile <profile> --version <version>

terraform init
terraform plan -out=dormeto.tfplan
terraform apply dormeto.tfplan

Dans sa vue Routers, le manager propose ensuite les mises à jour de routeur que la version embarque.

Routeurs et workloads depuis la CLI

Il faut la CLI 0.4.0 ou plus récente et un manager 0.15.0 ou plus récent. keep-awake et resume, plus bas, demandent la CLI 0.5.0. Listez les routeurs et les workloads et mettez des routeurs à jour depuis votre poste, avec le profil AWS de l'installation :

dormeto aws routers list --outdated
dormeto aws workloads list --tag team=payments --state ASLEEP
dormeto aws routers upgrade --tag team=payments    # ou --all ; --dry-run n'affiche que le plan

routers upgrade affiche le plan, avec les routeurs qu'il laisse de côté et pourquoi (écrits en Terraform, déjà à jour, occupés par une opération). Il demande confirmation. --yes est requis sans terminal, et --json affiche le résultat pour un script. --tag clé=valeur sélectionne les routeurs qui servent un workload portant ces tags Dormeto.

Pour garder des workloads éveillés, par exemple autour d'un job de CI, et pour définir des horaires (Horaires) :

dormeto aws workloads keep-awake prod-eu/w-1 --for 1h --wait
dormeto aws workloads resume prod-eu/w-1
dormeto aws workloads schedule set --tag team=payments --file schedule.json

keep-awake réveille le workload s'il est en veille et l'empêche de se mettre en veille pendant 7 jours au plus (--for ou --until). --wait rend la main quand il est éveillé, pour qu'une étape de CI continue, et resume y met fin. keep-awake et resume demandent la CLI 0.5.0 et un manager 0.15.0 ou plus récent. Les horaires demandent la CLI 0.5.0, un manager 0.16.0 et des routeurs 0.31.0. --tag sélectionne tous les workloads portant ces tags.

L'appelant a besoin de execute-api:Invoke sur les routes /iam/* de l'API du manager, dans le compte du manager. Ces routes sont la sortie api_iam_arn du module, et GET seul suffit pour les deux listes. L'appelant a aussi besoin de apigateway:GET pour trouver l'API par son nom, sauf si --api-url est donné. Un tel appelant agit comme un administrateur : l'audit et les opérations nomment son ARN.

La CLI 0.6.0 a aussi une commande pour chaque autre opération du manager. Cela couvre l'intégration, la découverte, les opérations, les utilisateurs et les groupes, l'audit, la mise à jour du manager. Elles sont sur la page CLI, avec des politiques IAM de la lecture seule à toutes les routes.

Désinstallation

1. Dans le manager, retirez les workloads et désinstallez les routeurs. Ceux-ci ont été installés par appels d'API et ne figurent pas dans votre état Terraform. Si le rafraîchissement sur événement est activé, désactivez-le, puis lancez la découverte (Run now). Les relais installés dans vos comptes sont alors supprimés.
2. Définissez deletion_protection = false dans le module (cette option protège les utilisateurs d'un destroy accidentel), appliquez, puis exécutez terraform destroy.
3. Supprimez les rôles des comptes membres, ainsi que la déclaration de Dormeto dans la politique de délégation, sans toucher aux autres déclarations (Accès à l'organisation).