Mettere un budget per utente perché nessuno crei macchine di troppo

Un account AWS con una sola persona si controlla con un'occhiata alla fattura. Con quattro o cinque persone che creano cose, no. Ognuna crea "una macchina piccola per provare", "una copia per sicurezza", "un database per un momento", e nessuna vede quello che creano le altre. Nessuno spende molto; tutte insieme, la fattura raddoppia in tre mesi. E quando arriva, non c'è modo di sapere di chi è ogni euro.

La soluzione non è proibire, ma dare a ogni persona una cifra al mese e rendere visibile quanto ha speso finora. È come una carta aziendale con un limite: nessuno se la prende a male, ed evita il 90 % degli spaventi.

AWS non ha un "budget per utente" vero e proprio. Si può imitare con tre pezzi: un tag obbligatorio con il nome di chi crea ogni cosa, un budget (Budgets) filtrato per quel tag e una policy IAM che impedisca di creare senza tag. I passi qui sotto lo montano; le sezioni seguenti spiegano come decidere le cifre e cosa contare.

Passo dopo passo

1. Decidi il tag e dillo a tutti

   Scegli un nome di tag e un formato per il valore, e non cambiarlo mai: per esempio Propietario con il nome utente IAM di ogni persona (Propietario = ana). Scrivilo in un posto che tutti vedano. Da adesso in poi, tutto ciò che si crea (macchine, dischi, istantanee, database, bucket) porta quel tag.

2. Attiva il tag come tag di allocazione dei costi

   Nella console AWS, menu del tuo account, Billing and Cost Management, sezione Cost allocation tags. Cerca Propietario nell'elenco dei tag definiti dall'utente e premi Activate. Finché non è attivato, Cost Explorer e Budgets non possono filtrare in base ad esso. Impiega fino a 24 ore a comparire, e conta solo la spesa da quando viene attivato, non quella precedente.

3. Crea un budget per persona in Budgets

   In Billing and Cost Management, entra in Budgets e premi Create budget. Scegli Customize, tipo Cost budget, periodo Monthly, importo fisso (per esempio 60 dollari). In Filters, scegli la dimensione Tag, chiave Propietario, valore ana. Chiamalo presupuesto-ana.

   Negli avvisi, aggiungine due: quando la spesa effettiva supera l'80 % e quando la previsione supera il 100 %, con l'email di quella persona e la tua. Ripeti il budget per ogni persona. I primi due budget dell'account sono gratuiti; da lì in poi costano pochi centesimi al giorno ciascuno.

4. Impedisci di creare macchine senza tag

   In IAM, Policies, Create policy, editor JSON. Una policy di negazione come questa impedisce di creare un'istanza EC2 o un volume che non porti il tag Propietario:

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Deny",
       "Action": ["ec2:RunInstances", "ec2:CreateVolume"],
       "Resource": ["arn:aws:ec2:*:*:instance/*", "arn:aws:ec2:*:*:volume/*"],
       "Condition": { "Null": { "aws:RequestTag/Propietario": "true" } }
     }]
   }

   Collega la policy al gruppo di utenti. Con una condizione simile (StringNotEquals su aws:RequestTag/Propietario e la variabile ${aws:username}) puoi obbligare che il valore sia il proprio nome utente, così nessuno intesta le sue macchine a un altro. Ogni servizio ha le sue azioni (rds:CreateDBInstance, lightsail:CreateInstances); comincia da EC2 e RDS, che è dove stanno i soldi.

5. Limita le taglie che si possono creare

   Un budget avvisa, ma non frena una macchina da 2 dollari l'ora creata un venerdì pomeriggio. Aggiungi un'altra policy di negazione per ec2:RunInstances con la condizione ec2:InstanceType fuori da un elenco (t3.micro, t3.small, t3.medium...). Chi ha bisogno di qualcosa di più grande, lo chiede. In RDS l'equivalente è rds:DatabaseClass.

6. Controlla una volta al mese

   In Cost Explorer, raggruppa per il tag Propietario. Vedrai una barra per persona e un'altra, "No tag", con tutto quello che è stato creato saltando la regola o prima di stabilirla. Quella barra è la lista delle cose da fare: taggare o cancellare. Dedica dieci minuti all'inizio di ogni mese e commenta le cifre con il team. La trasparenza fa più di qualsiasi policy.

Perché la spesa schizza in alto con più persone

Non è malafede né trascuratezza; è che la console AWS non dà nessun segnale di quanto costa ogni clic. Creare una macchina non mostra il prezzo al mese, solo il tipo. Un'istantanea non avvisa che si paga per sempre. E ogni persona vede l'account come "suo": non sa che ci sono già tre macchine di prova di altri colleghi che fanno la stessa cosa.

I tre schemi che costano più soldi:

• Creare e dimenticare. Una macchina per una prova di due giorni che resta accesa tre mesi. È, di gran lunga, la causa numero uno.
• Copie "per sicurezza". Istantanee prima di ogni modifica, che nessuno cancella dopo.
• Taglia per comodità. Scegliere una macchina quattro volte più grande del necessario "perché vada bene", senza sapere che costa quattro volte di più.

Come impostare la cifra

Parti da quello che già si spende. Guarda in Cost Explorer gli ultimi tre mesi e ripartiscilo mentalmente per persona (se non ci sono tag, chiedi). Di solito una o due persone hanno quasi tutta la spesa legittima (produzione) e il resto sono prove e sviluppo.

Separa due cose: ciò che è condiviso (i server di produzione, il database dell'azienda) e ciò che è personale (quello che ognuno crea per il suo lavoro). Il budget per utente si applica solo al secondo. Per una persona che sviluppa, una cifra ragionevole sta tra 30 e 100 dollari al mese: basta per una o due macchine piccole accese in orario d'ufficio e qualche istantanea. Per chi consulta soltanto, zero.

Metti la cifra un po' sopra quello che spende oggi chi spende di più in modo ragionevole, e abbassala dopo due mesi se avanza.

Cosa contare nel budget di ogni persona

Tutto quello che quella persona crea e che ha un costo ricorrente:

• Macchine EC2 e Lightsail, a ore o a piano mensile. Ricorda che in Lightsail la macchina ferma si paga.
• Dischi di quelle macchine, compresi quelli che restano orfani quando le si cancella.
• Database RDS e di Lightsail, che di solito sono l'oggetto più caro che una persona crea.
• Istantanee, per GB al mese finché esistono.
• Bucket S3: spazio e, soprattutto, quello che se ne scarica.
• IP riservati e non associati.

Quello che all'inizio non serve contare: trasferimento dati, log di CloudWatch, interrogazioni DNS. Sono piccoli e difficili da attribuire. Concentrati su quello che si crea con un pulsante e si dimentica.

Una trappola: Budgets conta la spesa accumulata nel mese. Quello che qualcuno ha creato il giorno 2 e cancellato il giorno 3 continua a sommarsi anche se l'oggetto non esiste più.

Quello che AWS non può fare

Conviene essere onesti sui limiti di questo montaggio:

• Budgets avvisa, non blocca. Esistono le "azioni di budget" che applicano una policy di negazione al superamento di una soglia, ma sono grossolane e arrivano tardi: la spesa è già fatta.
• I tag dipendono dal fatto che la gente li metta. La policy IAM obbliga in EC2 e RDS, ma non tutti i servizi permettono di taggare al momento della creazione, e le istantanee automatiche non ereditano il tag del disco.
• Lightsail tagga, ma la sua console non obbliga, e quello che è stato creato prima di attivare il tag di costo non viene contato.
• Costa fatica mantenerlo: ogni persona nuova è un budget, un valore di tag e una revisione; ogni persona che se ne va, pulire le sue cose.

Anche così, è molto meglio di niente.

Cosa può andare storto