亚马逊云科技中国区部署SaaS Boost的步骤总结 --- 安装篇

# 概述 ## 简介 SaaS 架构是一种思维方式和方法，旨在赋能租户业务和实现客户成功，它不是一种特定的技术或设计模式。SaaS 架构师的主要职责是创建组件的架构，以便快速入驻租户、更新服务、实现规模经济，并以这种思维方式和方法进行扩展。这些组件包括租户入驻、身份识别、DevOps、配置管理和监控、指标和分析和计费和计量，这些模块也构成了 SaaS 控制平面。SaaS 控制平面是促进业务增长的关键部分，并通过将核心解决方案作为一项服务来提供，实现客户利润最大化。 为了解决这一挑战，亚马逊云科技推出了 SaaS Boost 工具。该工具能够将现有解决方案快速迁移到 SaaS 模式，SaaS Boost 提供的 SaaS Admin 可以作为 SaaS 控制平面的一部分，包含管理和监控租户、身份识别、DevOps 和配置、指标和分析、计费和计量等组件。这使得交付团队能够迅速利用 SaaS Boost 提供的 SaaS 控制平面能力交付现有的解决方案，而无需从头创建。因此，SaaS 架构师可以专注于业务的核心逻辑，从而实现业务增长和利润的可持续增长。 ## 架构  # 初始环境安装 ## 第 1 步 - 使用具有管理员权限的身份登录您的中国区亚马逊云账号。 ## 第 2 步 - 选择 EC2 服务并启动一个新实例。 ● AMI 类型选择 Amazon Linux 2 AMI ● 实例类型推荐 T3.Medium 或以上 ● 选择已有密钥对或者创建新的密钥对已登录 EC2 ● 配置 20 GiB 或以上 EBS 存储 其他保持默认设置即可。 ## 第 3 步 - 启动完成以后，准备连接到实例。 这里推荐使用 Session Manager 进行连接。同时为了确保安装顺利，我们进行一些参数配置。  选择编辑  配置 Idle Session Timeout 为 60 分钟，配置登录用户为 ec2-user  保存退出 ## 第 4 步 - 连接到实例。  进入会话页面  ## 第 5 步 - 安装 Java。 sudo yum install java-11-amazon-corretto  输入以下命令以在 EC2 实例上将 Amazon Corretto 11 设置为默认运行时和编译器。 sudo /usr/sbin/alternatives --config javasudo /usr/sbin/alternatives –config javac ``` sudo /usr/sbin/alternatives --config javasudo /usr/sbin/alternatives –config javac 复制代码 ```  ## 第 6 步 - 安装 Apache Maven。 首先，输入以下命令以添加具有 Maven 程序包的存储库。 ``` sudo wget https\\://repos.fedorapeople.org/repos/dchen/apache-maven/epel-apache-maven.repo -O /etc/yum.repos.d/epel-apache-maven.repo 复制代码 ```  输入以下命令以设置该程序包的版本号。 ``` sudo sed -i s/\\\\\$releasever/6/g /etc/yum.repos.d/epel-apache-maven.repo 复制代码 ``` 然后，可以使用 yum 安装 Maven。 ``` sudo yum install -y apache-maven 复制代码 ```  ## 第 7 步 - 安装 Amazon CLI V2 ``` ## curl "https\\://awscli.amazonaws.com/awscli-exe-linux-x86\\_64.zip" -o "awscliv2.zip"unzip awscliv2.zipsudo ./aws/installaws --version 复制代码 ```  ## 第 8 步 - 安装 Git sudo yum install git  ## 第 9 步 - 安装 Node ● 安装 nvm ● curl -o- <https://raw.githubusercontent.com/nvm-sh/nvm/v0.39.3/install.sh?trk=cndc-detail>  | bash  激活 nvm ● . \~/.nvm/nvm.sh安装 node 14 (当前boost支持的node版本) ● nvm install 14  验证 node 版本 node --version ## 第 10 步 - 安装 yarn npm install --global yarn ## 第 11 步 - 安装其他工具(建议逐个工具安装，不要一次拷贝所有命令) sudo yum install -y jqsudo yum install docker -ysudo systemctl start docker.servicesudo systemctl enable docker.servicesudo amazon-linux-extras install epel -ysudo amazon-linux-extras install epel -ysudo yum install certbot python2-certbot-apache mod_ssl -y ## 第 12 步 - 验证工具安装成功 for command in aws jq docker certbot git java mvndowhich command &>/dev/null && echo "command in path" || echo "$command NOT FOUND"done  ## 第 13 步 - 为了通过这台EC2顺利安装 SaaS Boost，我们还需要确保赋予其相应的权限。 ● 首先确保您通过 IAM 已经创建了一个具有管理员权限的角色。 ● 可信实体类型选择 “亚马逊云科技服务” ● 使用案例选择 “EC2” ● 权限策略选择 “AdministratorAccess” ● 角色名设置为"admin" 角色创建成功以后，在 EC2 实例界面选择 操作->安全->修改 IAM 角色  选择具备管理员权限的角色并保存  注意事项 ● 您需要创建或者拥有亚马逊中国区的账号 ● 请确认您的 VPC、EIP 等可用资源配额充足，如果配额不足请联系亚马逊云科技的BD同学 ● 确保您拥有一个经过中国 ICP 备案的域名 ● 确保该域名的 80/8080/443 端口已经打开，如果没有打开请联系亚马逊云科技的 BD 同学 # 生成TLS证书 ## Route53 创建公有托管区 由于合规原因，您必须拥有经过 ICP 备案 的域名以便用户访问 SaaS Boost。亚马逊云科技提供详细的备案指南 。Amazon Route 53 是一种可用性高、可扩展性强的域名系统 (DNS) Web 服务。您可以使用 Route 53 将 Internet 流量路由到您的域的资源。 第 1 步 - 登录亚马逊云科技管理控制台，选择 Route 53服务。  第 2 步 - 创建一个公有托管区用于托管您的域名，录入您的域名并确认，比如 boostdemo.acusight.cn。  第 3 步 - 创建成功以后您将看到相应的域名解析服务器信息。   ## 提供ACM证书 在 SaaS Boost中，中国区用户认证组件通过 Keycloak 实现。此 Keycloak 通过 ECS 运行在一个容器化的环境中。对于 Keycloak 的请求，系统会通过 ELB 自动分配传入的应用流量到 ECS 中的 Keycloak 任务。我们可以通过 ACM 请求 Keycloak 域的证书，并最终在 ELB 上部署。 ### 第 1 步 - 在亚马逊云科技管理控制台，选择 Amazon Certificate Manager(ACM) 服务。 请求一个公有证书，在域名栏输入前述根域名的 子域名, 例如 keycloak1.boostdemo.acusight.cn。验证方式选择 DNS 验证，保留其他默认设置并创建证书。  ### 第 2 步 - 此时证书处于待验证状态，我们需要在 Route53 中创建相应的 CNAME 记录。 ACM 提供了一个自动化的流程来帮助我们实现证书的验证。  ### 第 3 步 - 验证成功以后，ACM 中证书状态显示为 已颁发。  ### 第 4 步 - 请记录好在此模块中输入的 子域名 信息，以便在后续安装模块中引用。 ## 提供 IAM 证书 在 SaaS Boost 中，为 管理控制台 域创建证书的方式有所不同。SaaS Boost 的管理控制台通过 Amazon Cloudfront 进行分发。在中国区，您不能使用默认 CloudFront 域 \*.cloudfront.cn\*\* 来提供内容。您必须向 CloudFront 分配添加备用域名（也称为别名记录），然后在内容 URL 中使用该域名。同时中国区的 CloudFront 目前不支持Amazon Certificate Manager。您必须从其他第三方证书颁发机构 (CA) 获取 SSL/TLS 证书，然后将其上传到 IAM 证书存储。 我们使用免费的服务 Certbot 来创建此证书。 ### 第 1 步 - 在任意 Terminal 终端中验证 Certbot 已经安装成功。 具体安装过程请参见实验准备模块。 certcot --version ### 第 2 步 – 输入一个合适的管理控制台域的子域名用来创建证书。 例如 [sbadmin1.boostdemo.acusight.cn](http://sbadmin1.boostdemo.acusight.cn/?trk=cndc-detail) export ADMIN_DOMAIN= sbadmin1.boostdemo.acusight.cn 通过命令行创建证书 sudo certbot certonly --manual --preferred-challenges dns -d $ADMIN_DOMAIN  注意 在继续下一步前，仔细阅读输出的内容!  ### 第 3 步 - 根据前一步输出的内容，在 Route53 公有托管区域中添加相应的记录。  ### 第 4 步 - 在另一个终端窗口中，验证记录被创建。 ``` export ADMIN_DOMAIN='{your-sub-domain}'dig \\_acme-challenge.\$ADMIN_DOMAIN. TXT 复制代码 ```  ### 第 5 步 - 验证成功，创建证书。  ### 第 6 步 - 证书创建完成以后，需要将证书，私钥，以及证书链上传到 Amazon IAM。 ● echo sudo aws iam upload-server-certificate \\-path '/cloudfront/' \\ ● -server-certificate-name +.$ADMIN_DOMAIN \\ ● -certificate-body file:///etc/letsencrypt/live/$ADMIN_DOMAIN/cert.pem \\ ● -private-key file:///etc/letsencrypt/live/$ADMIN_DOMAIN/privkey.pem \\ ● -certificate-chain file:///etc/letsencrypt/live/$ADMIN_DOMAIN/chain.pem \\ ● -region cn-northwest-1 复制输出的结果并运行，将证书上传到 IAM  ### 第 7 步 - 确定证书上传成功并记录好在此模块中输入的 子域名 信息，以便在后续安装模块中引用。 amazon iam list-server-certificates --region cn-northwest-1  # 正式安装SaaS Boost ## 第 1 步 - 作为前期的准备工作，远程登录到 EC2 之后切换用户到 ec2-user sudo su - ec2-usercd \~ ## 第 2步 - 在克隆代码前设置为第三方依赖源 ● 进入到 maven 目录下 ● cd /etc/maven 备份原始文件为 settings.xml.bak ● sudo cp settings.xml settings.xml.bak 编辑 settings.xml 文件，修改镜像仓库 ● sudo vi settings.xml替换本地仓库  更换为以下路径 ● /home/ec2-user/.ma/repository修改为第三方镜像仓库（这步可选，主要是为了加速下载依赖包）  mirrorIdrepositoryIdHuman Readable Name for this Mirror.<http://my.repository.com/repo/path-?trk=cndc-detail> >aliyunmaven\*阿里云公共仓库[https://maven.aliyun.com/repository/public](https://maven.aliyun.com/repository/public?trk=cndc-detail) 保存退出 ## 第 3 步 - 克隆代码到本地指定路径。 git clone <https://github.com/awslabs/aws-saas-boost.git?trk=cndc-detail> ## 第 4 步 - 作为部署 SaaS Boost 的一部分，您将加载默认区域的设置。 为此，请将 aws cli的默认区域切换到您当前正在使用的区域。 通过以下命令执行 SaaS Boost 安装程序。 ``` amazon configure set profile.default.region \$(curl -s http\\://169.254.169.254/latest/meta-data/placement/availability-zone | sed 's/\\\\(.\\*\\\\)\\[a-z]/\\1/')cd \\~/aws-saas-boost./install.sh 复制代码 ``` ## 第 5 步 - SaaS Boost 安装程序正在运行。 选择 第 1项 以全新安装 SaaS Boost。  ## 第 6 步 - 在此步骤中，选择存储 SaaS Boost 源代码的目录。 默认设置为克隆 SaaS Boost 代码的位置即可。 ``` Directory path of Saas Boost download (Press Enter for '/home/ec2-user/aws-saas-boost'): 复制代码 ``` ## 第 7 步 - 在此步骤中，我们设置准备部署的 SaaS Boost 的名称。 将名称设置为 dev-1。 Enter name of the AWS SaaS Boost environment to deploy (Ex. dev, test, uat, prod, etc.): dev-1 ## 第 8 步 - 在此步骤中，我们将为 SaaS Boost 设置管理员电子邮件。 SaaS Boost 部署完成后，SaaS Boost 访问地址和临时密码将发送到您设置的邮箱。输入一个有效的电子邮件地址。 Enter the email address for your AWS SaaS Boost administrator: <your@email.com> ## 第 9 步 - 在此步骤中，选择 SaaS Boost 的身份验证模块。 本实验使用 Keycloak，输入上节已经配置好的 Keycloak 子域名和管理控制台子域名 。  ## 第 10 步 - 在此步骤中，您选择是否设置 SaaS Boost 分析模块。 我们不在本实验中使用分析模块，输入 n 。 ``` Would you like to install the metrics and analytics module of Amazon SaaS Boost (y or n)? n 复制代码 ``` ## 第 11 步 - 最后，检查您到目前为止所做的设置，验证通过后输入 y 开始安装 SaaS Boost。  ## 第 12 步 - SaaS Boost 安装需要 15-20 分钟。 在安装过程中，SaaS Boost Console 访问地址和临时密码将通过您在上一步中设置的电子邮件发送。 \===========================================================Installing AWS SaaS Boost===========================================================Checking for necessary AWS service linked rolesCreating S3 artifacts bucketCreated S3 artifacts bucket: sb-dev-1-artifacts-3klmjhlkx512Uploading CloudFormation templates to S3 artifacts bucketUploading 24 CloudFormation resources to S3Compiling Lambda functions and uploading to S3 artifacts bucket. This will take some time...Uploading 35 Lambda functions to S31. Utils-lambda.zip2. ApiGatewayHelper-lambda.zip3. CloudFormationUtils-lambda.zip4. Authorizer-lambda.zip5. CodePipelineWaitHandler-lambda.zip6. CoreStackListener-lambda.zip7. EcsServiceUpdate-lambda.zip8. EcsShutdownServices-lambda.zip9. EcsStartupServices-lambda.zip10. OnboardingAppStackListener-lambda.zip11. OnboardingStackListener-lambda.zip12. SystemRestApiClient-lambda.zip13. WorkloadDeploy-lambda.zip14. ApplicationServicesMacro-lambda.zip15. AttachEcsCapacityProvider-lambda.zip16. CidrDynamoDB-lambda.zip17. ClearEcrRepo-lambda.zip18. ClearS3Bucket-lambda.zip19. CognitoAppClientDetails-lambda.zip20. CustomizeCognitoUi-lambda.zip21. FsxDnsName-lambda.zip22. KeycloakSetup-lambda.zip23. RdsBootstrap-lambda.zip24. RdsOptions-lambda.zip25. RedshiftTable-lambda.zip26. SetInstanceProtection-lambda.zip27. StartCodeBuild-lambda.zip28. MetricsService-lambda.zip29. OnboardingService-lambda.zip30. QuotasService-lambda.zip31. SettingsService-lambda.zip32. SystemUserService-lambda.zip33. TenantService-lambda.zip34. TierService-lambda.zip35. BillingService-lambda.zipUploading admin web app source files to S3Synchronizing AWS SaaS Boost web application files to s3 web bucketUploading 172 files to S3Running CloudFormationAwaiting CloudFormation Stack sb-dev-1 to complete. Sleep 5 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...Awaiting CloudFormation Stack sb-dev-1 to complete. Sleep 1 minute(s)...CloudFormation Stack: sb-dev-1 completed successfully.Check the admin email box for the temporary password.AWS SaaS Boost Artifacts Bucket: sb-dev-1-artifacts-3klmjhlkx512AWS SaaS Boost Console URL is: [https://sbadmin1.boostdemo.acusight.cn](https://sbadmin1.boostdemo.acusight.cn/) ## 第 13 步 - SaaS Boost 已成功部署。 记住上一步生成的Console URL地址：sbadmin1.boostdemo.acusight.cn，接着通过以下步骤获取 SaaS Boost Console 的临时密码。 SaaS Boost Console 的登录 ID 为 admin ，密码需要从Secrets Manager 中得到。   ## 第 14 步 - 访问 SaaS Boost Console，输入刚刚得到的用户名(admin)和密码，并登录。  安装成功后，访问 SaaS Boost Console 时可能会出现短暂的如下错误，请大约10分钟后重试  首次登录成功后，需要修改 admin 用户的密码，设置新密码并单击 更改 。  登录成功后，可以看到 SaaS Boost Dashboard。  # 参考文档 * <https://aws.amazon.com/cn/partners/saas-boost/?trk=cndc-detail> * <https://github.com/awslabs/aws-saas-boost?trk=cndc-detail> * <https://catalog.us-east-1.prod.workshops.aws/workshops/962a7019-9c8a-49d1-a0bf-ab7229b94e94/zh-CN?trk=cndc-detail> * <https://aws.amazon.com/cn/campaigns/smb-hub-saas/?trk=cndc-detail> # 关于作者 **刘振华** 亚马逊云科技高级解决方案架构师，本硕均毕业于上海交通大学。加入亚马逊云科技之前，曾就职于埃森哲和华为公司，主导过多个大型软件项目的设计、开发和项目管理工作。擅长 SaaS 领域的理论和落地实践，致力于向客户提供相关领域的技术咨询和赋能工作。目前主要是工作是加速中国区的 SaaS 客户的转型速度和促进亚马逊云科技SaaS生态发展等事宜。 **宗福祥** 华讯公有云解决方案架构师，在亚马逊云科技上有着丰富的客户经验，专注于帮助客户在亚马逊云科技上部署 SAAS 层业务，为客户提供更高效、更灵活的 SAAS 解决方案。