Jaringan, Operasional, dan Harga

VPC adalah layanan yang memungkinkan sumber daya AWS diluncurkan di dalam jaringan virtual yang terisolasi secara logis dan didefinisikan sendiri, dan dapat membangun konfigurasi di atas AWS yang sangat mirip dengan jaringan tradisional pusat data perusahaan sendiri. Mendistribusikan konten dari edge location adalah CloudFront, menyediakan pendaftaran domain, routing DNS, dan health check adalah Route 53, dan menarik koneksi khusus yang melewati ISP di sepanjang jalur adalah Direct Connect.

Subnet adalah rentang alamat IP di dalam VPC, dan selalu termasuk dalam satu availability zone. Oleh karena itu, subnet tidak dapat melintasi AZ, dan jika ingin mendistribusikan ke beberapa AZ, subnet perlu dibuat untuk setiap AZ. Yang menentukan tujuan komunikasi adalah route table, dan pintu keluar-masuk ke internet adalah internet gateway - keduanya komponen yang berbeda dari subnet.

Route table adalah tabel yang menentukan tujuan trafik dari subnet atau gateway. Yang memotong rentang alamat IP adalah subnet, yang menyediakan koneksi ke internet adalah internet gateway, dan yang mewakili komunikasi keluar dari sumber daya berIP privat adalah NAT gateway. Keempat komponen ini tidak tumpang tindih perannya.

NAT gateway adalah mekanisme yang memungkinkan sumber daya berIP privat mengakses internet sambil tetap privat. Karena hanya mewakili komunikasi dari dalam ke luar, koneksi yang masuk dari luar tidak akan terbentuk. Internet gateway menghubungkan VPC itu sendiri ke internet, dan bukan komponen yang ditempatkan di dalam subnet. Direct Connect adalah koneksi khusus dengan jaringan internal perusahaan, dan CloudFront adalah distribusi konten - keduanya tidak digunakan untuk kebutuhan ini.

Route 53 adalah layanan web DNS dengan ketersediaan dan skalabilitas yang unggul, memiliki tiga fungsi yaitu pendaftaran domain, routing DNS, dan health check, yang dapat dikombinasikan sesuai kebutuhan. Distribusi konten ditangani oleh CloudFront, dan pembagian beban trafik masuk ditangani oleh Elastic Load Balancing - keduanya bukan fungsi Route 53.

CloudFront adalah CDN yang mempercepat distribusi konten web, baik statis maupun dinamis. Sering dikira hanya mekanisme yang membagikan file statis saja, tetapi menurut penjelasan resmi, konten dinamis juga termasuk target. Distribusi dilakukan melalui jaringan pusat data berskala global yang disebut edge location, dan disampaikan dari lokasi dengan latensi terendah. Yang menangani koneksi khusus dengan jaringan internal perusahaan adalah Direct Connect, dan bukan peran CloudFront.

Direct Connect adalah layanan yang menghubungkan jaringan internal perusahaan dengan Direct Connect location menggunakan kabel serat optik ethernet standar, melewati ISP di sepanjang jalur jaringan, dan langsung membuat virtual interface ke layanan AWS. Poin pentingnya adalah ini merupakan koneksi khusus yang tidak melalui internet, yang membedakannya dari metode menarik tunnel terenkripsi di atas internet.

Route table adalah tabel yang menentukan tujuan trafik dari subnet atau gateway. Subnet yang memiliki rute ke internet gateway lazim disebut subnet publik, dan yang tidak memilikinya disebut subnet privat. Karena subnet selalu termasuk dalam satu AZ, perbedaannya tidak ditentukan oleh jumlah AZ. Ketika sumber daya di subnet privat keluar, komunikasinya melewati NAT gateway.

Origin adalah tempat yang menyimpan sumber konten yang didistribusikan CloudFront, seperti bucket S3 atau server HTTP. Ketika konten yang dituju tidak ada di edge location, CloudFront mengambilnya dari origin lalu mendistribusikannya. Titik yang mengembalikan konten dari tempat paling dekat dengan pengguna adalah edge location, lapisan cache perantara di antara edge location dan sumber konten adalah Regional Edge Cache, dan mekanisme yang mengarahkan ke tujuan distribusi sesuai permintaan nama adalah routing DNS milik Route 53.

Route 53 adalah layanan web DNS yang tiga fungsinya - pendaftaran domain, routing DNS, dan health check - dapat dikombinasikan sesuai kebutuhan. Karena bukan hubungan yang mengharuskan ketiganya lengkap agar dapat berjalan, dimungkinkan untuk tetap mendaftarkan domain di perusahaan lain sambil hanya menyerahkan routing DNS, atau hanya menggunakan health check saja. Pemindahan (migration) bukan syarat untuk dapat menggunakannya.

ALB beroperasi di lapisan 7, yaitu application layer, dan menangani HTTP, HTTPS, gRPC. Karena melihat sejauh ini, isi HTTP dapat dijadikan bahan pertimbangan, sehingga pembagian yang fleksibel seperti content-based routing dapat dilakukan. Yang beroperasi di lapisan 4 adalah NLB (TCP, UDP, TLS), dan yang beroperasi di lapisan 3 dan 4 adalah Gateway Load Balancer (IP).

NLB adalah load balancer lapisan 4 yang menangani TCP, UDP, TLS. Dipilih ketika dibutuhkan kinerja yang sangat tinggi dan alamat IP statis. Yang menangani HTTP, HTTPS, gRPC adalah ALB pada lapisan 7, dan yang meneruskan IP secara transparan tanpa mengakhiri flow adalah Gateway Load Balancer. gRPC tidak tercantum dalam daftar dukungan NLB.

GWLB beroperasi di lapisan 3 dan 4, dan protokol yang ditanganinya adalah IP. Ini adalah mekanisme untuk menempatkan fungsi keamanan atau fungsi jaringan berbentuk appliance di sepanjang jalur, dan perbedaan mendasarnya dari dua load balancer lainnya adalah meneruskan flow secara transparan tanpa mengakhirinya. Yang membagikan berdasarkan isi HTTP adalah ALB pada lapisan 7, dan IP statis serta UDP adalah keunggulan NLB pada lapisan 4.

Ketika diperlukan alamat IP statis, dipilih NLB. NLB beroperasi di lapisan 4, dan diposisikan resmi cocok untuk situasi yang membutuhkan kinerja sangat tinggi dan IP statis. ALB beroperasi di lapisan 7 dan menangani HTTP, HTTPS, gRPC, dengan keunggulan pembagian berdasarkan isi. GWLB digunakan untuk menyisipkan appliance secara transparan. Classic Load Balancer adalah generasi lama yang mendukung TCP, SSL/TLS, HTTP, HTTPS.

ELB secara otomatis mendistribusikan trafik aplikasi yang diterima ke beberapa target yang berada di satu atau lebih availability zone. Bukan sesuatu yang tertutup pada satu AZ saja, dan kemampuan mendistribusikan ke target yang dipisah ke beberapa AZ menjadi dasar desain ketersediaan. Pendaftaran nama domain adalah Route 53, dan distribusi dari edge location adalah peran CloudFront.

Protokol yang ditangani ALB adalah HTTP, HTTPS, gRPC, dan beroperasi di lapisan 7. Di antara pilihan ini, hanya ALB yang dapat menangani gRPC secara langsung. NLB adalah load balancer lapisan 4 yang menangani TCP, UDP, TLS, dan GWLB adalah load balancer lapisan 3 dan 4 yang menangani IP. Classic Load Balancer mendukung TCP, SSL/TLS, HTTP, HTTPS.

NLB adalah load balancer lapisan 4 yang menangani TCP, UDP, TLS, sehingga dapat mendistribusikan komunikasi UDP. Yang ditangani ALB adalah HTTP, HTTPS, gRPC, dan tidak termasuk UDP. GWLB menangani IP, tetapi ditujukan untuk meneruskan secara transparan ke appliance, bukan untuk kebutuhan pembagian beban umum. Classic Load Balancer mendukung TCP, SSL/TLS, HTTP, HTTPS.

ALB menangani HTTP, HTTPS, gRPC di lapisan 7; NLB menangani TCP, UDP, TLS di lapisan 4; dan GWLB menangani IP di lapisan 3 dan 4. Akan lebih mudah diingat urutannya jika dipikirkan bahwa semakin besar nomor lapisan, semakin tinggi informasi yang dapat dilihat untuk pembagian. GWLB satu-satunya yang melintasi dua lapisan karena sifatnya yang meneruskan paket IP apa adanya secara transparan.

Pembagian berdasarkan isi HTTP seperti path atau nama host disebut content-based routing, dan merupakan keunggulan ALB yang beroperasi di lapisan 7. Karena NLB berada di lapisan 4, ia tidak melihat sampai ke isi HTTP. GWLB meneruskan flow secara transparan tanpa mengakhirinya, sehingga yang dapat digunakan untuk keputusan pembagian hanya sampai IP. Classic Load Balancer pun generasi lama, sehingga untuk kebutuhan ini dipilih ALB.

GWLB beroperasi di lapisan 3 dan 4, dan merupakan load balancer yang disiapkan untuk fungsi keamanan atau fungsi jaringan berbentuk appliance. Karena meneruskan flow secara transparan tanpa mengakhirinya, tampilan komunikasi tidak berubah meskipun perangkat inspeksi disisipkan di tengah jalur. ALB dan NLB berperan menerima trafik sendiri lalu mendistribusikannya, dan bukan cara pakai yang meneruskan secara transparan. CloudFront adalah layanan distribusi konten.

IAM adalah layanan yang mengontrol akses ke sumber daya AWS secara aman, mengelola siapa yang diautentikasi (sign in) dan siapa yang diotorisasi (memiliki hak akses). Pembuatan dan kontrol penggunaan key adalah KMS, pemantauan dan kontrol permintaan HTTP adalah WAF, dan penyimpanan serta rotasi kredensial atau API key adalah Secrets Manager. Peran masing-masing tidak tumpang tindih.

IAM adalah layanan yang mengelola "siapa yang diautentikasi (sign in) dan siapa yang diotorisasi (memiliki hak akses)". Autentikasi adalah tahap memverifikasi identitas seseorang, dan otorisasi adalah tahap setelahnya yang menentukan apa yang boleh dilakukan - urutan dan perannya berbeda. Meskipun dapat sign in, operasi yang tidak diizinkan oleh policy tidak dapat dijalankan. Jika kedua hal ini tertukar saat diingat, perancangan hak akses akan salah dipahami.

KMS adalah layanan terkelola yang memudahkan pembuatan dan kontrol key yang digunakan untuk enkripsi atau tanda tangan, dan KMS key dilindungi oleh HSM yang telah lolos sertifikasi FIPS 140-3 Security Level 3. Key tidak pernah keluar dari KMS dalam keadaan tidak terenkripsi. Oleh karena itu, cara pakai yang mengeluarkan atau membagikannya dalam bentuk plaintext tidak dapat dilakukan, dan digunakan dengan cara meminta operasi enkripsi atau dekripsi kepada KMS.

WAF memantau permintaan HTTP dan HTTPS yang diteruskan ke sumber daya aplikasi web yang dilindungi, dan mengontrol akses dengan tindakan seperti allow, block, count, serta CAPTCHA atau challenge. Karena ada count, dampaknya dapat diukur terlebih dahulu sebelum dijadikan aturan produksi, tanpa langsung memblokir. Yang berkaitan dengan enkripsi dan tanda tangan adalah KMS, pencatatan dan visualisasi adalah CloudWatch, dan pendaftaran domain serta resolusi nama adalah Route 53.

Shield menangani perlindungan dari serangan DDoS. Standard adalah perlindungan dasar yang disertakan otomatis tanpa biaya tambahan pada AWS WAF dan lainnya, sedangkan Advanced adalah perlindungan tambahan yang berbayar. Pada Advanced, dapat diperoleh mitigasi otomatis untuk DDoS lapisan 7, visualisasi terperinci, dan dukungan khusus dari Shield Response Team (SRT). Perlu berhati-hati pada pilihan jawaban yang membalik cara pembebanan biayanya.

Shield Advanced adalah perlindungan tambahan berbayar, yang menyediakan mitigasi otomatis untuk DDoS lapisan 7, visualisasi terperinci, dan dukungan khusus dari Shield Response Team (SRT). Rotasi ditangani oleh Secrets Manager, pengelolaan terpusat konfigurasi perlindungan di beberapa akun ditangani oleh AWS Firewall Manager, dan direktori pengguna serta penerbitan token ditangani oleh user pool Amazon Cognito.

Secrets Manager adalah layanan yang mengelola, mengambil, dan merotasi secret seperti kredensial basis data, kredensial aplikasi, token OAuth, dan API key, sepanjang siklus hidupnya. Sign in dan penerbitan token ditangani Cognito, pencatatan konfigurasi dan evaluasi kepatuhan ditangani AWS Config, dan pembuatan serta perlindungan key itu sendiri ditangani KMS. Dapat diingat bahwa Secrets Manager-lah yang membawa nilai (value) berkeliling.

User pool adalah direktori pengguna yang mengautentikasi dan mengotorisasi pengguna terhadap aplikasi atau API, berfungsi sebagai IdP OIDC yang independen, dan menerbitkan token OAuth 2.0 atau JWT. Identity pool adalah mekanisme yang memberikan hak akses sumber daya AWS kepada pengguna yang telah maupun belum diautentikasi, dan menerbitkan kredensial AWS sementara melalui AWS STS. Integrasi keduanya tidak saling wajib, dan masing-masing dapat digunakan sendiri-sendiri.

Identity pool adalah mekanisme yang memberikan hak akses sumber daya AWS kepada pengguna yang telah maupun belum diautentikasi, dan menerbitkan kredensial AWS sementara melalui AWS STS. Yang diterbitkan user pool adalah token OAuth 2.0 atau JWT, dan ini bukan kredensial untuk langsung memanggil API AWS. Desain yang membagikan kredensial jangka panjang atau membuat IAM user untuk setiap pengguna tidak cocok untuk kebutuhan ini.

Firewall Manager adalah layanan yang mengelola secara terpusat perlindungan seperti AWS WAF, Shield Advanced, security group dan network ACL VPC, Network Firewall, serta Route 53 Resolver DNS Firewall, di beberapa akun dan sumber daya sekaligus. Pemeriksaan setiap permintaan dilakukan oleh WAF itu sendiri, pembuatan key adalah KMS, dan penanganan informasi sign in adalah Cognito.

CloudWatch memantau sumber daya AWS dan aplikasi yang berjalan di atasnya secara real-time, dan memvisualisasikan kinerja, status operasional, serta pemanfaatan sumber daya melalui metrik, log, alarm, dan dashboard. Yang mencatat operasi API siapa melakukan apa adalah CloudTrail, yang mencatat konfigurasi dan perubahannya adalah AWS Config, dan yang membangun sumber daya dari template adalah CloudFormation.

CloudTrail mencatat tindakan yang diambil oleh pengguna, role, atau layanan AWS sebagai event. Operasi melalui management console, CLI, SDK, atau API menjadi target, sehingga dapat ditelusuri kemudian siapa yang melakukan operasi API apa. CloudWatch menangani pemantauan kinerja dan status, CloudFormation menangani pembangunan dari template, dan Systems Manager menangani operasi pengelolaan node - semuanya bukan untuk kebutuhan menelusuri pelaku operasi.

Config menyediakan tampilan terperinci konfigurasi sumber daya AWS, mencatat hubungan antar sumber daya dan bagaimana konfigurasinya di masa lalu, sehingga perubahan konfigurasi dapat dilacak. Selain itu, Config rules mengevaluasi konfigurasi dan menandai sumber daya yang melanggar sebagai non-compliant. Pemantauan ambang batas adalah CloudWatch, pembangunan dari template adalah CloudFormation, dan pencatatan operasi adalah peran CloudTrail.

Ketiganya diingat berdampingan. CloudWatch adalah pemantauan real-time terhadap kinerja dan status, CloudTrail adalah catatan siapa melakukan operasi API apa, dan Config adalah pencatatan konfigurasi sumber daya serta evaluasi kepatuhan. Ketiganya bukan layanan yang saling bersaing, dan trail dari CloudTrail disimpan di bucket S3, serta secara opsional juga dapat dikirim ke CloudWatch Logs. Hubungannya adalah CloudTrail sebagai pengirim, dan CloudWatch Logs sebagai penerima.

Pada CloudFormation, ketika template dibuat - yaitu file teks yang menuliskan sumber daya yang dibutuhkan - CloudFormation akan melakukan provisioning dan konfigurasi sumber daya sesuai isinya. Kumpulan sumber daya yang dibuat dapat dikelola bersama sebagai satu unit yang disebut stack, dan dapat dihapus sekaligus juga. Hubungannya adalah template sebagai rancangan, dan stack sebagai satu kesatuan hasil jadinya.

Kumpulan sumber daya yang dibuat CloudFormation dapat dikelola sebagai satu unit yang disebut stack, dan juga dapat dihapus sekaligus. Bukan berarti hanya dapat ditangani secara individual, dan jika stack dihapus, sumber daya yang termasuk di dalamnya juga akan ikut terhapus sekaligus. Pencatatan perubahan konfigurasi secara kronologis adalah peran AWS Config. Kemampuan membuat dan menghapus sekaligus inilah yang menjadi keunggulan memperlakukan infrastruktur sebagai kode.

Systems Manager adalah antarmuka terpadu untuk menampilkan, mengelola, dan mengoperasikan node di lingkungan AWS, on-premises, dan multi-cloud secara terpusat dalam skala besar, mencakup Run Command, Session Manager, Automation, Parameter Store, Patch Manager, Fleet Manager, dan lainnya. Pencatatan konfigurasi adalah Config, pembangunan dari template adalah CloudFormation, dan pembagian trafik adalah ELB.

Spot instance adalah opsi pembelian yang memanfaatkan kapasitas EC2 yang belum terpakai di AWS Cloud, dengan diskon besar tetapi dapat terinterupsi. Cocok untuk pemrosesan batch atau lingkungan pengujian yang dapat mentoleransi interupsi. Komitmen jumlah penggunaan adalah Savings Plans, komitmen atribut instance adalah reserved instance, dan yang tanpa pembayaran di muka maupun komitmen adalah on-demand.

Savings Plans adalah model harga yang mendapat diskon sebagai imbalan atas komitmen pada jumlah penggunaan tertentu, dan reserved instance adalah model harga yang mendapat diskon sebagai imbalan atas komitmen pada atribut seperti jenis instance, platform, dan tenancy. Keduanya sama-sama memiliki periode 1 atau 3 tahun, dan pembayaran dapat dipilih dari seluruhnya di muka, sebagian di muka, atau tanpa pembayaran di muka. Yang dapat terinterupsi adalah spot instance.

Compute Savings Plans paling fleksibel, mendukung perubahan instance family, perubahan region, perpindahan antara EC2, Fargate, dan Lambda, serta perubahan OS. EC2 Instance Savings Plans berkomitmen pada instance family tertentu di region tertentu, sehingga meskipun perubahan ukuran dalam family dan perubahan OS dimungkinkan, perubahan family dan region tidak dapat dilakukan. Periode keduanya sama-sama 1 atau 3 tahun, dan pembayaran dapat dipilih dari seluruhnya di muka, sebagian di muka, atau tanpa pembayaran di muka.