Audyt cloud sprawl - jak zidentyfikować i zredukować niekontrolowany rozrost infrastruktury chmurowej

# Lista wszystkich kont AWS w organizacji
aws organizations list-accounts \
  --query 'Accounts[].{Id:Id, Name:Name, Email:Email, Status:Status}' \
  --output table

# Znajdź konta bez aktywności (brak zdarzeń CloudTrail w ostatnich 90 dniach)
for account_id in $(aws organizations list-accounts --query 'Accounts[].Id' --output text); do
  event_count=$(aws cloudtrail lookup-events \
    --lookup-attributes AttributeKey=AccountId,AttributeValue=$account_id \
    --start-time $(date -d '90 days ago' +%Y-%m-%dT%H:%M:%S) \
    --max-results 1 --query 'length(Events)' --output text 2>/dev/null)
  if [ "$event_count" = "0" ]; then
    echo "NIEAKTYWNE: $account_id"
  fi
done

# Niepodłączone wolumeny EBS (płacisz za storage, nic ich nie używa)
aws ec2 describe-volumes \
  --filters Name=status,Values=available \
  --query 'Volumes[].{VolumeId:VolumeId, Size:Size, CreateTime:CreateTime}' \
  --output table

# Elastic IP bez przypisania ($3.60/mo każdy od lutego 2024)
aws ec2 describe-addresses \
  --query 'Addresses[?AssociationId==null].{PublicIp:PublicIp, AllocationId:AllocationId}' \
  --output table

# Zatrzymane instancje EC2 (nadal płacisz za EBS)
aws ec2 describe-instances \
  --filters Name=instance-state-name,Values=stopped \
  --query 'Reservations[].Instances[].{Id:InstanceId, Name:Tags[?Key==`Name`]|[0].Value, StoppedSince:StateTransitionReason}' \
  --output table

# Load Balancery bez przypisanych targetów
aws elbv2 describe-target-groups \
  --query 'TargetGroups[?length(LoadBalancerArns)==`0`].{Arn:TargetGroupArn, Name:TargetGroupName}' \
  --output table

# Snapshoty RDS starsze niż 90 dni (ręczne, zapomniane)
aws rds describe-db-snapshots \
  --snapshot-type manual \
  --query "DBSnapshots[?SnapshotCreateTime<='$(date -d '90 days ago' +%Y-%m-%d)'].{Id:DBSnapshotIdentifier, Size:AllocatedStorage, Created:SnapshotCreateTime}" \
  --output table

# Lista wszystkich projektów (szukaj tych, których nikt nie rozpoznaje)
gcloud projects list --format="table(projectId, name, lifecycleState, createTime)"

# Niepodłączone dyski persystentne
gcloud compute disks list --filter="NOT users:*" \
  --format="table(name, zone, sizeGb, status, lastAttachTimestamp)"

# Statyczne IP bez użycia
gcloud compute addresses list --filter="status=RESERVED" \
  --format="table(name, address, region, status)"

# Klastry GKE bez workload
for cluster in $(gcloud container clusters list --format="value(name,zone)"); do
  name=$(echo $cluster | cut -f1)
  zone=$(echo $cluster | cut -f2)
  pods=$(gcloud container clusters get-credentials $name --zone $zone 2>/dev/null && \
    kubectl get pods --all-namespaces --no-headers 2>/dev/null | grep -v kube-system | wc -l)
  echo "$name ($zone): $pods podów (poza kube-system)"
done

# Lista wszystkich subskrypcji
az account list --query "[].{Name:name, Id:id, State:state}" --output table

# Niepodłączone dyski zarządzane
az disk list --query "[?managedBy==null].{Name:name, Size:diskSizeGb, ResourceGroup:resourceGroup}" \
  --output table

# Publiczne IP bez przypisania
az network public-ip list \
  --query "[?ipConfiguration==null].{Name:name, IP:ipAddress, ResourceGroup:resourceGroup}" \
  --output table

# App Service Plan bez aplikacji
az appservice plan list \
  --query "[?numberOfSites==\`0\`].{Name:name, Sku:sku.name, ResourceGroup:resourceGroup}" \
  --output table

# AWS: procent kosztów bez tagów (ostatnie 30 dni)
aws ce get-cost-and-usage \
  --time-period Start=$(date -d '30 days ago' +%Y-%m-%d),End=$(date +%Y-%m-%d) \
  --granularity MONTHLY \
  --metrics BlendedCost \
  --group-by Type=TAG,Key=team \
  --query 'ResultsByTime[0].Groups[?Keys[0]==``].Metrics.BlendedCost.Amount' \
  --output text
# Jeśli to > 30% całkowitych wydatków, masz problem z tagowaniem

# AWS: koszty per konto
aws ce get-cost-and-usage \
  --time-period Start=$(date -d '30 days ago' +%Y-%m-%d),End=$(date +%Y-%m-%d) \
  --granularity MONTHLY \
  --metrics BlendedCost \
  --group-by Type=DIMENSION,Key=LINKED_ACCOUNT \
  --query 'ResultsByTime[0].Groups[].{Account:Keys[0], Cost:Metrics.BlendedCost.Amount}' \
  --output table

# GCP: koszt per projekt (ostatnie 30 dni z eksportu billing do BigQuery)
bq query --use_legacy_sql=false '
  SELECT project.name, SUM(cost) as total_cost
  FROM `billing_dataset.gcp_billing_export`
  WHERE DATE(usage_start_time) >= DATE_SUB(CURRENT_DATE(), INTERVAL 30 DAY)
  GROUP BY project.name
  ORDER BY total_cost DESC
'

# Instalacja cloud-nuke do automatycznego czyszczenia sandboxów
# https://github.com/gruntwork-io/cloud-nuke
cloud-nuke aws --older-than 168h --config .cloud-nuke.yml --dry-run

# Przed usunięciem czegokolwiek: stwórz końcowy snapshot/backup
# Wolumen EBS
aws ec2 create-snapshot --volume-id vol-xxx --description "backup przed usunieciem"
aws ec2 delete-volume --volume-id vol-xxx

# Czyszczenie snapshotów RDS (zostaw najnowszy, usuń starsze)
aws rds delete-db-snapshot --db-snapshot-identifier stary-snapshot-nazwa

# Zwolnienie Elastic IP
aws ec2 release-address --allocation-id eipalloc-xxx

# Sprawdzenie: brak niepodłączonych wolumenów EBS
aws ec2 describe-volumes --filters Name=status,Values=available --query 'length(Volumes)'
# Oczekiwane: 0

# Sprawdzenie: brak niepodłączonych Elastic IP
aws ec2 describe-addresses --query 'length(Addresses[?AssociationId==null])'
# Oczekiwane: 0

# Sprawdzenie: zgodność tagowania (powinno być > 90%)
aws ce get-cost-and-usage \
  --time-period Start=$(date -d '30 days ago' +%Y-%m-%d),End=$(date +%Y-%m-%d) \
  --granularity MONTHLY \
  --metrics BlendedCost \
  --group-by Type=TAG,Key=team \
  --query 'ResultsByTime[0].Groups[?Keys[0]!=``].Metrics.BlendedCost.Amount' --output text
# Oblicz: koszt_otagowany / koszt_calkowity * 100 > 90%