Audit automatico AWS: script e tool per tagliare i costi nascosti

Storage scollegato che resta dopo la terminazione, istanze inattive e risorse fuori dalle finestre di supporto gonfiano le bollette AWS senza più traffico o compute. Lo rileva una nota tecnica pubblicata il 1 novembre 2026¹.

Il meccanismo è semplice: quando componenti gestiti escono dagli standard di supporto o quando volumi e dischi restano staccati ma ancora fatturati, la spesa sale. Non cambia il carico degli utenti, non cambia la domanda di calcolo, ma il conto cresce lo stesso¹. Questi scostamenti di configurazione passano spesso inosservati tra rilasci e manutenzioni. Vengono scoperti tardi, quando il ciclo di fatturazione è già partito.

Affidarsi a controlli manuali in console, regione per regione, non basta. I giri di spot-check saltano dettagli, non coprono tutti i servizi e non girano con la cadenza necessaria¹. Per questo la nota propone di automatizzare l’ispezione con uno script Python leggero. L’obiettivo è cercare due classi di problemi: storage non collegato e compute inattivo. Il frammento mostrato usa boto3 e pandas per avviare una scansione multi-servizio:

import boto3
import pandas as pd
def quick_audit():
    print("Running multi-service FinOps scan...")
    # Collects unattached storage and idle compute instances
if __name__ == '__main__':
    quick_audit()

Il codice d’esempio non è un auditor completo. Indica una direzione: serializzare i controlli, estrarre inventario, applicare regole semplici e stampare risultati. Una scansione ripetibile libera tempo rispetto a clic e filtri in console. Riduce la variabilità dei controlli e crea un punto di partenza per allargare la copertura¹.

Il limite arriva presto nei contesti aziendali. Lanci isolati in una singola regione non scalano su più account. La governance dei costi richiede tre mattoni: assunzione di ruolo tra account con sts:AssumeRole, correlazione delle anomalie di costo e auditing automatico su pianificazione¹. Il primo permette di ispezionare in modo centralizzato gli account di un’AWS Organization. Il secondo collega ciò che si vede nell’inventario con ciò che impatta il conto. Il terzo assicura cadenza e continuità.

Per chi vuole partire senza scrivere codice, la nota indica una CLI open source su GitHub: aws-finops-auditor-lite¹. Chi gestisce un’organizzazione con più account può valutare una versione commerciale, Enterprise AWS FinOps Auditor. Offre scansioni multi-account con sts:AssumeRole e pianificazioni in CI/CD. Il prezzo è una tantum, 99 dollari¹.

L’impostazione è pragmatica: iniziare con un controllo ripetibile che trova gli sprechi ricorrenti, poi passare a governance continua quando la superficie cresce. Le tre leve restano le stesse, a prescindere dallo strumento scelto: standard di configurazione chiari, visibilità sugli scostamenti, esecuzione programmata. In assenza di questi elementi, i picchi di spesa legati a drift e storage residuo continuano a emergere tra i cicli di release e le rotazioni del team¹.

La nota suggerisce anche un cambio di abitudini. Spostare l’audit da attività occasionale a pratica schedulata permette di cogliere il momento in cui compare l’anomalia di costo. Quel timestamp, agganciato a ruoli cross-account e a controlli ripetibili, accelera l’individuazione della causa e riduce la finestra di fatturazione impattata¹.