Réseau, exploitation et tarification

VPC est un service qui permet de lancer des ressources AWS dans un réseau virtuel logiquement isolé et défini par le client lui-même, permettant de reproduire sur AWS une configuration très proche du réseau classique d'un centre de données de l'entreprise. La diffusion de contenu depuis des edge locations relève de CloudFront, l'enregistrement de domaine, le routage DNS et les vérifications de santé de Route 53, et la connexion dédiée contournant les FAI sur le trajet de Direct Connect.

Un sous-réseau est une plage d'adresses IP au sein d'un VPC, appartenant obligatoirement à une seule zone de disponibilité. Un sous-réseau ne peut donc pas s'étendre sur plusieurs AZ, et pour répartir des ressources sur plusieurs AZ, il faut créer un sous-réseau par AZ. Ce qui détermine la destination du trafic est la table de routage, et le point d'entrée et de sortie vers Internet est la passerelle Internet ; ce sont là des composants distincts du sous-réseau.

La table de routage est un tableau qui détermine la destination du trafic issu des sous-réseaux ou des passerelles. Découper la plage d'adresses IP relève du sous-réseau, fournir la connexion vers Internet de la passerelle Internet, et relayer par proxy les communications sortantes des ressources ayant une IP privée de la passerelle NAT. Les rôles de ces quatre composants ne se chevauchent pas.

La passerelle NAT est un mécanisme qui permet à des ressources disposant d'une adresse IP privée d'accéder à Internet tout en restant privées. Elle ne fait que relayer par proxy les communications de l'intérieur vers l'extérieur, si bien qu'aucune connexion entrante venant de l'extérieur ne peut aboutir. La passerelle Internet connecte le VPC lui-même à Internet et n'est pas un composant placé à l'intérieur d'un sous-réseau. Direct Connect est une connexion dédiée au réseau interne de l'entreprise, et CloudFront un service de diffusion de contenu ; aucun des deux ne convient à cet usage.

Route 53 est un service web DNS offrant une excellente disponibilité et scalabilité, doté de trois fonctions : l'enregistrement de domaine, le routage DNS et les vérifications de santé, que l'on peut combiner librement selon les besoins. La diffusion de contenu relève de CloudFront, et la répartition du trafic entrant d'Elastic Load Balancing ; ce ne sont pas des fonctions de Route 53.

CloudFront est un CDN qui accélère la diffusion de contenu web à la fois statique et dynamique. On croit souvent qu'il ne diffuse que des fichiers statiques, mais la description officielle inclut aussi le contenu dynamique. La diffusion se fait via un réseau mondial de centres de données appelés edge locations, et le contenu est livré depuis le point offrant la latence la plus faible. La connexion dédiée au réseau interne de l'entreprise relève de Direct Connect, ce qui n'est pas le rôle de CloudFront.

Direct Connect est un service qui relie le réseau interne de l'entreprise à un emplacement Direct Connect via un câble à fibre optique Ethernet standard, contourne les FAI sur le trajet réseau, et crée directement une interface virtuelle vers les services AWS. L'essentiel est qu'il s'agit d'une connexion dédiée ne passant pas par Internet, ce qui le distingue d'une méthode reposant sur un tunnel chiffré sur Internet.

La table de routage est un tableau qui détermine la destination du trafic issu des sous-réseaux ou des passerelles. Un sous-réseau disposant d'une route vers une passerelle Internet est appelé par convention sous-réseau public, et celui qui n'en a pas, sous-réseau privé. Un sous-réseau appartenant toujours à une seule AZ, le nombre d'AZ ne permet pas de faire la distinction. Lorsque les ressources d'un sous-réseau privé sortent vers l'extérieur, elles passent par une passerelle NAT.

L'origine est l'endroit qui détient la source du contenu diffusé par CloudFront, tel qu'un bucket S3 ou un serveur HTTP. Lorsque le contenu recherché n'est pas présent dans l'edge location, CloudFront le récupère depuis l'origine pour le diffuser. Le point de cache le plus proche de l'utilisateur renvoyant le contenu est l'edge location, la couche de cache intermédiaire entre l'edge location et l'origine est le cache régional de périphérie, et ce qui oriente vers la destination de diffusion en réponse à une requête de nom est le routage DNS de Route 53.

Route 53 est un service web DNS dont les trois fonctions — enregistrement de domaine, routage DNS et vérifications de santé — peuvent être combinées librement selon les besoins. Ce n'est pas un service qui ne fonctionne que si les trois sont réunies ; on peut donc confier uniquement le routage DNS, ou n'utiliser que les vérifications de santé, tout en gardant le domaine acquis ailleurs. Le transfert n'est pas une condition préalable à l'utilisation.

L'ALB fonctionne à la couche 7, c'est-à-dire la couche application, et traite HTTP, HTTPS et gRPC. Comme il voit jusqu'à ce niveau, il peut se baser sur le contenu de la requête HTTP, ce qui permet une répartition flexible telle que le routage basé sur le contenu. Ce qui fonctionne à la couche 4 est le NLB (TCP, UDP, TLS), et ce qui fonctionne aux couches 3 et 4 est le Gateway Load Balancer (IP).

Le NLB est un répartiteur de charge de couche 4, traitant TCP, UDP et TLS. On le choisit lorsqu'une performance extrêmement élevée et une adresse IP statique sont nécessaires. HTTP, HTTPS et gRPC sont traités par l'ALB de couche 7, et le fait de traiter l'IP en laissant passer les flux sans les terminer relève du Gateway Load Balancer. gRPC ne figure pas dans le tableau de compatibilité du NLB.

Le GWLB fonctionne aux couches 3 et 4, et le protocole qu'il traite est l'IP. C'est un mécanisme destiné à placer sur le trajet des fonctions de sécurité ou réseau de type appliance, et sa différence décisive avec les deux autres est qu'il laisse passer les flux de façon transparente sans les terminer. Répartir en examinant le contenu HTTP relève de l'ALB de couche 7, et une IP statique combinée à UDP est le point fort du NLB de couche 4.

Lorsqu'une adresse IP statique est nécessaire, on choisit le NLB. Le NLB fonctionne à la couche 4 et est officiellement positionné comme adapté aux situations exigeant une performance extrêmement élevée et une IP statique. L'ALB fonctionne à la couche 7 et traite HTTP, HTTPS et gRPC, son point fort étant la répartition basée sur le contenu. Le GWLB sert à insérer un appliance de façon transparente. Le Classic Load Balancer est une génération plus ancienne prenant en charge TCP, SSL/TLS, HTTP et HTTPS.

ELB répartit automatiquement le trafic applicatif entrant vers plusieurs cibles situées dans une ou plusieurs zones de disponibilité. Il ne se limite pas à une seule AZ ; la capacité à répartir vers des cibles réparties sur plusieurs AZ constitue la base de la conception de la haute disponibilité. L'enregistrement de noms de domaine relève de Route 53, et la diffusion depuis des edge locations de CloudFront.

Les protocoles traités par l'ALB sont HTTP, HTTPS et gRPC, et il fonctionne à la couche 7. Parmi ces options, seul l'ALB peut traiter gRPC directement. Le NLB est un répartiteur de couche 4 traitant TCP, UDP et TLS, et le GWLB un répartiteur des couches 3 et 4 traitant l'IP. Le Classic Load Balancer prend en charge TCP, SSL/TLS, HTTP et HTTPS.

Le NLB est un répartiteur de charge de couche 4 traitant TCP, UDP et TLS, il peut donc répartir des communications UDP. L'ALB traite HTTP, HTTPS et gRPC, ce qui n'inclut pas UDP. Le GWLB traite l'IP, mais il sert à laisser passer de façon transparente vers un appliance, et non à un usage de répartition de charge générale. Le Classic Load Balancer prend en charge TCP, SSL/TLS, HTTP et HTTPS.

L'ALB traite HTTP, HTTPS et gRPC à la couche 7, le NLB traite TCP, UDP et TLS à la couche 4, et le GWLB traite l'IP aux couches 3 et 4. En se disant que plus le numéro est élevé, plus la répartition se fait en examinant des informations de haut niveau, cet ordre reste facile à retenir. Si le GWLB seul s'étend sur deux couches, c'est en raison de sa propriété de laisser passer les paquets IP de façon transparente sans les modifier.

La répartition basée sur le contenu HTTP, comme le chemin ou le nom d'hôte, est appelée routage basé sur le contenu, et c'est le point fort de l'ALB, qui fonctionne à la couche 7. Le NLB étant de couche 4, il n'examine pas le contenu HTTP. Le GWLB laisse passer les flux de façon transparente sans les terminer, et ne peut se baser que sur l'IP pour ses décisions de répartition. Le Classic Load Balancer étant également d'une génération plus ancienne, on choisit l'ALB pour cet usage.

Le GWLB fonctionne aux couches 3 et 4, et c'est un répartiteur de charge prévu pour des fonctions de sécurité ou réseau de type appliance. Comme il laisse passer les flux de façon transparente sans les terminer, insérer un dispositif d'inspection sur le trajet ne change pas l'apparence de la communication. L'ALB et le NLB reçoivent eux-mêmes le trafic pour le répartir, et ne servent pas à laisser passer de façon transparente. CloudFront est un service de diffusion de contenu.

IAM est un service qui contrôle en toute sécurité l'accès aux ressources AWS, en gérant qui est authentifié (peut se connecter) et qui est autorisé (dispose de droits). La création et le contrôle des clés relèvent de KMS, la surveillance et le contrôle des requêtes HTTP de WAF, et le stockage et la rotation des identifiants ou des clés d'API de Secrets Manager. Les rôles ne se chevauchent pas.

IAM est un service qui gère « qui est authentifié (peut se connecter) et qui est autorisé (dispose de droits) ». L'authentification est l'étape qui vérifie qu'il s'agit bien de la bonne personne, et l'autorisation est l'étape suivante qui détermine ce qu'elle a le droit de faire ; l'ordre et le rôle diffèrent. Même en pouvant se connecter, on ne peut pas exécuter une opération non autorisée par une politique. Inverser ces deux notions conduit à une mauvaise lecture de la conception des droits.

KMS est un service managé qui facilite la création et le contrôle des clés utilisées pour le chiffrement ou la signature ; les clés KMS sont protégées par des modules HSM certifiés FIPS 140-3 niveau de sécurité 3. Une clé ne sort jamais de KMS sans être chiffrée. Il n'est donc pas possible de l'extraire ou de la distribuer en clair ; on l'utilise en demandant à KMS d'effectuer les opérations de chiffrement ou de déchiffrement.

WAF surveille les requêtes HTTP et HTTPS transmises vers les ressources d'application web protégées, et contrôle l'accès au moyen d'actions telles qu'autoriser, bloquer, compter, ou proposer un CAPTCHA ou un challenge. Grâce à l'action de comptage, on peut mesurer l'impact d'une règle avant de bloquer directement, puis la faire passer en règle de production. Le chiffrement et la signature relèvent de KMS, la journalisation et la visualisation de CloudWatch, et l'enregistrement de domaine ou la résolution de noms de Route 53.

Shield assure la protection contre les attaques DDoS. Standard est une protection de base incluse automatiquement sans coût supplémentaire avec des services comme AWS WAF, tandis qu'Advanced est une protection étendue payante. Avec Advanced, on bénéficie d'une atténuation automatique des DDoS de couche 7, d'une visibilité détaillée, et d'un support dédié assuré par le Shield Response Team (SRT). Il faut se méfier des réponses qui inversent le sens du coût.

Shield Advanced est une protection étendue payante offrant l'atténuation automatique des DDoS de couche 7, une visibilité détaillée, et un support dédié assuré par le Shield Response Team (SRT). La rotation relève de Secrets Manager, la gestion centralisée de la protection sur plusieurs comptes d'AWS Firewall Manager, et l'annuaire d'utilisateurs avec émission de jetons du user pool d'Amazon Cognito.

Secrets Manager est un service qui gère, récupère et fait tourner tout au long de leur cycle de vie des secrets tels que les identifiants de base de données, les identifiants d'application, les jetons OAuth ou les clés d'API. La connexion et l'émission de jetons relèvent de Cognito, l'enregistrement de la configuration et l'évaluation de la conformité d'AWS Config, et la création et la protection des clés elles-mêmes de KMS. On peut retenir que Secrets Manager est celui qui fait circuler les valeurs.

Le user pool est un annuaire d'utilisateurs qui authentifie et autorise les utilisateurs auprès des applications ou des API ; il fonctionne comme un fournisseur d'identité OIDC indépendant et émet des jetons OAuth 2.0 ou des JWT. L'identity pool accorde aux utilisateurs authentifiés ou non authentifiés un accès aux ressources AWS, en émettant des identifiants AWS temporaires via AWS STS. L'intégration des deux n'est pas obligatoire dans les deux sens ; chacun peut être utilisé seul.

L'identity pool est un mécanisme qui accorde aux utilisateurs authentifiés ou non authentifiés un accès aux ressources AWS, en émettant des identifiants AWS temporaires via AWS STS. Ce que le user pool émet, ce sont des jetons OAuth 2.0 ou des JWT, qui ne sont pas des identifiants permettant d'appeler directement les API AWS. Distribuer des identifiants de longue durée ou créer un utilisateur IAM par utilisateur ne convient pas à cet usage.

Firewall Manager est un service qui gère de façon centralisée, sur plusieurs comptes et plusieurs ressources, des protections telles que AWS WAF, Shield Advanced, les groupes de sécurité et ACL réseau du VPC, Network Firewall, ou Route 53 Resolver DNS Firewall. L'inspection de requêtes individuelles relève de WAF lui-même, la création de clés de KMS, et le traitement des informations de connexion de Cognito.

CloudWatch surveille en temps réel les ressources AWS et les applications qui s'exécutent dessus, et rend visibles la performance, l'état opérationnel et le taux d'utilisation des ressources au moyen de métriques, de journaux, d'alarmes et de tableaux de bord. Ce qui enregistre qui a effectué quelle opération d'API est CloudTrail, ce qui enregistre la configuration et ses changements est AWS Config, et ce qui construit des ressources à partir d'un modèle est CloudFormation.

CloudTrail enregistre sous forme d'événements les actions effectuées par les utilisateurs, les rôles et les services AWS. Cela couvre les opérations via la console de gestion, la CLI, les SDK ou l'API, ce qui permet de retracer par la suite qui a effectué quelle opération d'API. CloudWatch surveille la performance et l'état, CloudFormation construit à partir de modèles, et Systems Manager assure des opérations d'exploitation sur des nœuds ; aucun de ces services ne sert à retracer l'auteur d'une opération.

Config fournit une vue détaillée de la configuration des ressources AWS, enregistre les relations entre ressources et leur configuration passée, permettant de suivre les changements de configuration. De plus, les règles Config évaluent la configuration et signalent comme non conformes les ressources en infraction. La surveillance de seuils relève de CloudWatch, la construction à partir de modèles de CloudFormation, et l'enregistrement des opérations de CloudTrail.

Il est utile de retenir ces trois services ensemble. CloudWatch assure la surveillance en temps réel de la performance et de l'état, CloudTrail enregistre qui a effectué quelle opération d'API, et Config enregistre la configuration des ressources et évalue la conformité. Ce ne sont pas des services concurrents : les trails de CloudTrail sont stockés dans un bucket S3, et peuvent en option être également transmis à CloudWatch Logs. CloudTrail est du côté émetteur, et CloudWatch Logs du côté récepteur.

Avec CloudFormation, lorsqu'on crée un modèle, un fichier texte décrivant les ressources nécessaires, CloudFormation provisionne et configure les ressources en conséquence. L'ensemble des ressources créées peut être géré comme une seule unité appelée stack, et peut aussi être supprimé en bloc. Le modèle correspond au plan, et la stack à l'ensemble de ce qui a été construit à partir de ce plan.

L'ensemble des ressources créées par CloudFormation peut être géré comme une seule unité appelée stack, et peut aussi être supprimé en bloc. Ce n'est pas limité à un traitement individuel : supprimer la stack supprime en bloc les ressources qu'elle contient. L'enregistrement chronologique des changements de configuration relève d'AWS Config. Pouvoir construire et supprimer en bloc est l'un des avantages de traiter l'infrastructure comme du code.

Systems Manager est une interface unifiée permettant d'afficher, gérer et exploiter à grande échelle et de façon centralisée les nœuds situés dans des environnements AWS, sur site ou multi-cloud ; il comprend Run Command, Session Manager, Automation, Parameter Store, Patch Manager, Fleet Manager, etc. L'enregistrement de la configuration relève de Config, la construction à partir de modèles de CloudFormation, et la répartition du trafic d'ELB.

Une instance Spot est une option d'achat utilisant la capacité EC2 inutilisée du cloud AWS ; elle offre une réduction importante mais peut être interrompue. Elle convient aux traitements par lots ou aux environnements de test pouvant tolérer une interruption. L'engagement sur la consommation correspond aux Savings Plans, l'engagement sur les attributs de l'instance aux instances réservées, et l'absence de paiement initial et d'engagement correspond au mode à la demande (On-Demand).

Les Savings Plans sont un modèle tarifaire offrant une réduction en échange d'un engagement sur un niveau de consommation donné, tandis que les instances réservées offrent une réduction en échange d'un engagement sur des attributs tels que le type d'instance, la plateforme ou la tenancy. Dans les deux cas, la durée est de 1 ou 3 ans, et le paiement peut être choisi entre paiement intégral d'avance, partiel d'avance, ou sans paiement d'avance. Ce qui peut être interrompu, ce sont les instances Spot.

Les Compute Savings Plans sont les plus flexibles : ils s'adaptent à un changement de famille d'instance, à un changement de région, à une migration entre EC2, Fargate et Lambda, ou à un changement de système d'exploitation. Les EC2 Instance Savings Plans engagent sur une famille d'instance spécifique dans une région spécifique ; on peut changer de taille au sein de la famille ou de système d'exploitation, mais pas changer de famille ni de région. Dans les deux cas, la durée est de 1 ou 3 ans, et le paiement se choisit entre paiement intégral d'avance, partiel d'avance, ou sans paiement d'avance.