Redes, operações e preços

A VPC é um serviço que permite iniciar recursos da AWS dentro de uma rede virtual (仮想ネットワーク) logicamente isolada que você mesmo define, permitindo montar na AWS uma configuração muito parecida com uma rede tradicional do seu próprio data center. Entregar conteúdo a partir de localizações de borda (エッジロケーション) é trabalho do CloudFront, oferecer registro de domínios, roteamento DNS e verificações de integridade é trabalho do Route 53, e estabelecer uma conexão dedicada que contorna os ISPs ao longo da rota é trabalho do Direct Connect.

Uma sub-rede (サブネット) é um intervalo de endereços IP dentro de uma VPC que sempre pertence a uma única Zona de Disponibilidade (アベイラビリティゾーン). Por isso, uma sub-rede não pode abranger várias AZs, e distribuir os recursos entre várias AZs significa criar uma sub-rede por AZ. Decidir para onde o tráfego é direcionado é trabalho da tabela de rotas, e a saída para a internet é o gateway da internet — ambos são componentes separados da sub-rede.

Uma tabela de rotas (ルートテーブル) é uma tabela que decide para onde o tráfego de uma sub-rede ou de um gateway é direcionado. Recortar o intervalo de endereços IP é trabalho da sub-rede, fornecer a conexão com a internet é trabalho do gateway da internet (インターネットゲートウェイ), e fazer o papel de proxy do tráfego de saída para recursos com IPs privados é trabalho do gateway NAT (NATゲートウェイ). As funções desses quatro componentes não se sobrepõem.

Um gateway NAT (NATゲートウェイ) é um mecanismo que permite que um recurso com endereço IP privado acesse a internet continuando privado. Como ele apenas faz o papel de proxy para o tráfego que sai de dentro para fora, uma conexão de entrada vinda de fora não pode ser estabelecida por meio dele. Um gateway da internet (インターネットゲートウェイ) conecta a própria VPC à internet e não é um componente colocado dentro de uma sub-rede. O Direct Connect é uma conexão dedicada com uma rede on-premises, e o CloudFront é um serviço de entrega de conteúdo — nenhum dos dois é usado para essa finalidade.

O Route 53 é um serviço web de DNS altamente disponível e escalável com três funções — registro de domínios (ドメイン登録), roteamento DNS (DNSルーティング) e verificação de integridade (ヘルスチェック) —, que podem ser combinadas da forma que você precisar. A entrega de conteúdo é trabalho do CloudFront, e distribuir o tráfego de entrada é trabalho do Elastic Load Balancing; nenhuma das duas é função do Route 53.

O CloudFront é uma CDN que acelera a entrega de conteúdo web estático e dinâmico. Muitas vezes se supõe que ele entregue apenas arquivos estáticos, mas a descrição oficial inclui também o conteúdo dinâmico. A entrega é feita por meio de uma rede mundial de data centers chamados localizações de borda (エッジロケーション), a partir da localização com a menor latência (レイテンシ). Lidar com uma conexão dedicada com uma rede on-premises é trabalho do Direct Connect, e não do CloudFront.

O Direct Connect é um serviço que conecta uma rede on-premises a um local do Direct Connect usando um cabo de fibra óptica Ethernet padrão, contornando os ISPs ao longo do caminho da rede, e cria uma interface virtual (仮想インターフェイス) diretamente para os serviços da AWS. O ponto principal é que se trata de uma conexão dedicada (専用の接続) que não passa pela internet, e é nisso que ele difere de uma abordagem que cria um túnel criptografado sobre a internet.

Uma tabela de rotas (ルートテーブル) é uma tabela que decide para onde o tráfego de uma sub-rede ou de um gateway é direcionado. Uma sub-rede cuja tabela de rotas tem uma rota para um gateway da internet (インターネットゲートウェイ) é convencionalmente chamada de sub-rede pública (パブリックサブネット), e uma sem essa rota é chamada de sub-rede privada (プライベートサブネット). Uma sub-rede sempre pertence a uma única AZ, por isso o número de AZs não as distingue. Quando um recurso em uma sub-rede privada se comunica com o exterior, ele passa por um gateway NAT.

Uma origem (オリジン) é o local que guarda a fonte do conteúdo que o CloudFront entrega, como um bucket do S3 ou um servidor HTTP. Quando o conteúdo solicitado não está na localização de borda, o CloudFront o busca na origem e o entrega. Devolver o conteúdo a partir da localização mais próxima do usuário é trabalho da localização de borda (エッジロケーション), a camada intermediária de cache entre uma localização de borda e a origem é o Regional Edge Cache (リージョナルエッジキャッシュ), e direcionar a um destino em resposta a uma consulta de nome é o roteamento DNS do Route 53.

O Route 53 é um serviço web de DNS cujas três funções — registro de domínios, roteamento DNS (DNSルーティング) e verificação de integridade (ヘルスチェック) — podem ser combinadas da forma que você precisar. Não é um sistema em que as três precisam estar presentes para funcionar, por isso você pode deixar o domínio registrado em outro lugar e confiar ao Route 53 apenas o roteamento DNS, ou usar apenas a verificação de integridade. Transferir o domínio (移管) não é pré-requisito para usá-lo.

O ALB opera na Camada 7, a camada de aplicação (アプリケーション層), e lida com HTTP, HTTPS e gRPC. Como enxerga até esse nível, pode usar o conteúdo do HTTP como base para suas decisões, o que permite um roteamento flexível, como o roteamento baseado em conteúdo (コンテンツベースルーティング). O NLB opera na Camada 4 (TCP, UDP, TLS), e o Gateway Load Balancer opera nas Camadas 3 e 4 (IP).

O NLB é um balanceador de carga (ロードバランサ) de Camada 4 que lida com TCP, UDP e TLS. É a escolha quando você precisa de desempenho extremamente alto e de um endereço IP estático (静的IPアドレス). Lidar com HTTP, HTTPS e gRPC é trabalho do ALB, de Camada 7, e deixar passar o tráfego IP de forma transparente sem encerrar os fluxos é trabalho do Gateway Load Balancer. O gRPC não está na lista de protocolos suportados pelo NLB.

O GWLB opera nas Camadas 3 e 4 e lida com o protocolo IP. É um mecanismo para colocar funções de segurança ou de rede baseadas em appliances (アプライアンス) no caminho do tráfego, e a diferença decisiva em relação aos outros dois é que ele deixa os fluxos passarem de forma transparente (透過的) sem encerrá-los (終端). Rotear observando o conteúdo do HTTP é o ponto forte do ALB, de Camada 7, e o IP estático com UDP é o ponto forte do NLB, de Camada 4.

Quando é necessário um endereço IP estático (静的IPアドレス), escolha o NLB. O NLB opera na Camada 4 e é oficialmente apresentado como adequado a cenários que exigem desempenho extremamente alto e IP estático. O ALB opera na Camada 7, lida com HTTP, HTTPS e gRPC e tem o roteamento baseado em conteúdo como ponto forte. O GWLB serve para inserir um appliance de forma transparente. O Classic Load Balancer é uma geração mais antiga, que suporta TCP, SSL/TLS, HTTP e HTTPS.

O ELB distribui automaticamente o tráfego de aplicação recebido entre vários destinos (ターゲット) em uma ou mais Zonas de Disponibilidade (アベイラビリティゾーン). Ele não fica restrito a uma única AZ, e poder distribuir entre destinos divididos em várias AZs é a base do projeto de disponibilidade (可用性). O registro de nomes de domínio é trabalho do Route 53, e a entrega a partir de localizações de borda é trabalho do CloudFront.

Os protocolos com que o ALB lida são HTTP, HTTPS e gRPC, e ele opera na Camada 7. Entre essas alternativas, o ALB é o único que consegue lidar diretamente com gRPC. O NLB é um balanceador de carga (ロードバランサ) de Camada 4 que lida com TCP, UDP e TLS, e o GWLB é um balanceador de carga de Camadas 3/4 que lida com IP. O Classic Load Balancer suporta TCP, SSL/TLS, HTTP e HTTPS.

O NLB é um balanceador de carga (ロードバランサ) de Camada 4 que lida com TCP, UDP e TLS, por isso consegue distribuir tráfego UDP. O ALB lida com HTTP, HTTPS e gRPC, o que não inclui UDP. O GWLB lida com IP, mas serve para deixar o tráfego passar de forma transparente para um appliance, e não para balanceamento de carga de uso geral. O Classic Load Balancer suporta TCP, SSL/TLS, HTTP e HTTPS.

O ALB lida com HTTP, HTTPS e gRPC na Camada 7; o NLB lida com TCP, UDP e TLS na Camada 4; e o GWLB lida com IP nas Camadas 3 e 4. Ajuda a memorizar a ordem pensar que, quanto maior o número da camada (レイヤー), mais informações de alto nível ficam visíveis para as decisões de roteamento. Só o GWLB abrange duas camadas, por causa de sua natureza de deixar os pacotes IP passarem de forma transparente tal como estão.

O roteamento baseado no conteúdo do HTTP, como o caminho ou o nome do host, é chamado de roteamento baseado em conteúdo (コンテンツベースルーティング) e é o ponto forte do ALB, que opera na Camada 7. O NLB opera na Camada 4, por isso não vê o conteúdo do HTTP. O GWLB deixa os fluxos passarem sem encerrá-los, então a única coisa disponível para as decisões de roteamento é o IP. O Classic Load Balancer também é um projeto de geração mais antiga; o ALB é a escolha para essa finalidade.

O GWLB opera nas Camadas 3 e 4, lida com o protocolo IP e é um balanceador de carga projetado para funções de segurança ou de rede baseadas em appliances (アプライアンス). Como ele deixa os fluxos passarem de forma transparente (透過的) sem encerrá-los (終端), inserir um appliance de inspeção no meio do caminho não muda a aparência do tráfego. O ALB e o NLB são projetados para receber o tráfego eles mesmos e distribuí-lo, e não para deixá-lo passar de forma transparente. O CloudFront é um serviço de entrega de conteúdo.

O IAM é um serviço que controla com segurança o acesso aos recursos da AWS, gerenciando quem é autenticado (認証), ou seja, faz login, e quem é autorizado (認可), ou seja, tem permissões. Criar e controlar chaves é trabalho do KMS, monitorar e controlar solicitações HTTP é trabalho do WAF, e armazenar e fazer a rotação de credenciais e chaves de API é trabalho do Secrets Manager. As funções não se sobrepõem.

O IAM é um serviço que gerencia "quem é autenticado (faz login) e quem é autorizado (tem permissões)". A autenticação (認証) é a etapa de confirmar que você é quem diz ser, e a autorização (認可) é a etapa seguinte, que decide o que você pode fazer — elas diferem tanto na ordem quanto na função. Mesmo que você consiga fazer login, não pode executar uma operação que não seja permitida pela política (ポリシー). Memorizar os dois trocados leva a interpretar errado o projeto de permissões.

O KMS é um serviço gerenciado que facilita criar e controlar as chaves usadas para criptografia e assinatura, e uma chave do KMS é protegida por um HSM certificado no FIPS 140-3 Nível de Segurança 3. A chave nunca sai do KMS em estado não criptografado. Por isso, exportá-la ou distribuí-la em texto simples (平文) não é algo possível; em vez disso, as operações de criptografia (暗号化) e descriptografia (復号) são solicitadas ao KMS.

O WAF monitora as solicitações HTTP e HTTPS encaminhadas a um recurso de aplicação web protegido e controla o acesso com ações como permitir (許可), bloquear (ブロック), contar (カウント) e CAPTCHA ou desafio. Como existe a ação de contar, é possível medir o impacto antes de transformar uma regra em bloqueio definitivo, em vez de bloquear de imediato. A criptografia e a assinatura cabem ao KMS, o registro e a visualização ao CloudWatch, e o registro de domínios e a resolução de nomes ao Route 53.

O Shield oferece proteção contra ataques DDoS. O Standard é uma proteção básica incluída automaticamente, sem custo adicional, com serviços como o AWS WAF, e o Advanced é uma proteção ampliada disponível mediante taxa adicional (追加料金). O Advanced oferece mitigação automática de ataques DDoS de Camada 7, visibilidade detalhada e suporte dedicado da Shield Response Team (SRT). Cuidado com a alternativa que inverte qual deles tem custo adicional.

O Shield Advanced é uma proteção ampliada mediante taxa adicional (追加料金), que oferece mitigação automática de ataques DDoS de Camada 7, visibilidade detalhada e suporte dedicado da Shield Response Team (SRT). A rotação é trabalho do Secrets Manager, o gerenciamento centralizado da proteção em várias contas é trabalho do AWS Firewall Manager, e um diretório de usuários com emissão de tokens são os grupos de usuários do Amazon Cognito.

O Secrets Manager é um serviço que gerencia, recupera e faz a rotação (ローテーション) de segredos (シークレット) — como credenciais de banco de dados, credenciais de aplicações, tokens OAuth e chaves de API — ao longo de todo o seu ciclo de vida. O login e a emissão de tokens são trabalho do Cognito, registrar a configuração e avaliar a conformidade é trabalho do AWS Config, e criar e proteger as próprias chaves é trabalho do KMS. Ajuda lembrar o Secrets Manager como aquele que guarda e entrega os valores.

Um grupo de usuários (ユーザープール) é um diretório de usuários que autentica e autoriza usuários para aplicativos e APIs, funcionando como um provedor de identidade OIDC independente que emite tokens OAuth 2.0 e JWTs. Um grupo de identidades (IDプール) concede a usuários autenticados ou não autenticados acesso aos recursos da AWS, emitindo credenciais temporárias da AWS por meio do AWS STS. Integrar os dois não é obrigatório para nenhum deles; cada um pode ser usado sozinho.

Um grupo de identidades (IDプール) é um mecanismo que concede a usuários autenticados ou não autenticados acesso aos recursos da AWS, emitindo credenciais temporárias da AWS (一時的なAWS認証情報) por meio do AWS STS. O que um grupo de usuários emite são tokens OAuth 2.0 e JWTs, que não são credenciais para chamar diretamente as APIs da AWS. Distribuir credenciais de longo prazo, ou criar um usuário do IAM para cada usuário, não é adequado para essa finalidade.

O Firewall Manager é um serviço que gerencia de forma centralizada (一元管理) proteções — como AWS WAF, Shield Advanced, grupos de segurança e ACLs de rede da VPC, Network Firewall e Route 53 Resolver DNS Firewall — em várias contas e recursos. Inspecionar solicitações individuais é trabalho do próprio WAF, criar chaves é trabalho do KMS, e lidar com informações de login é trabalho do Cognito.

O CloudWatch monitora em tempo real os recursos da AWS e as aplicações executadas neles, tornando visíveis o desempenho, o estado operacional e a utilização dos recursos por meio de métricas (メトリクス), logs, alarmes (アラーム) e painéis. Registrar quem executou qual operação de API é trabalho do CloudTrail, registrar a configuração e suas mudanças é trabalho do AWS Config, e construir recursos a partir de modelos é trabalho do CloudFormation.

O CloudTrail registra como eventos (イベント) as ações executadas por usuários, funções e serviços da AWS. Ele abrange operações feitas pelo console de gerenciamento, pela CLI e por SDK ou API, permitindo rastrear depois quem executou qual operação de API. O CloudWatch cuida do monitoramento de desempenho e de estado, o CloudFormation da construção a partir de modelos e o Systems Manager das tarefas operacionais nos nós — nenhum deles se destina a rastrear quem executou uma ação.

O Config oferece uma visão detalhada da configuração dos recursos, registrando as relações entre eles e como estavam configurados no passado, de modo que as mudanças de configuração possam ser rastreadas. Ele também avalia a configuração com as regras do Config (Config ルール), sinalizando como não conformes (非準拠) os recursos que as violam. Monitorar limites é trabalho do CloudWatch, construir a partir de modelos é trabalho do CloudFormation, e registrar operações é trabalho do CloudTrail.

Ajuda memorizar os três juntos: o CloudWatch é o monitoramento em tempo real do desempenho e do estado, o CloudTrail é o registro de quem executou qual operação de API, e o Config é o registro da configuração dos recursos e a avaliação da conformidade (準拠性). Eles não são serviços concorrentes — uma trilha (トレイル) do CloudTrail é armazenada em um bucket do S3 e, opcionalmente, também pode ser entregue ao CloudWatch Logs, o que faz do CloudTrail o remetente e do CloudWatch Logs um possível destino.

No CloudFormation, você cria um modelo (テンプレート), um arquivo de texto que descreve os recursos de que precisa, e o CloudFormation provisiona e configura os recursos de acordo com ele. Os recursos criados podem ser gerenciados juntos como uma única unidade chamada pilha (スタック), e também podem ser excluídos juntos. Assim, o modelo corresponde a uma planta, e a pilha corresponde ao grupo de recursos resultante.

O grupo de recursos que o CloudFormation cria pode ser gerenciado como uma única unidade chamada pilha (スタック), e também pode ser excluído de uma só vez. Não é verdade que os recursos só possam ser tratados individualmente; excluir a pilha exclui junto os recursos que ela contém. Registrar as mudanças de configuração ao longo do tempo é função do AWS Config. Poder construir em grupo e desmontar em grupo é uma vantagem de tratar a infraestrutura como código.

O Systems Manager é uma interface unificada (統合インターフェイス) para visualizar, gerenciar e operar de forma centralizada, em grande escala, nós (ノード) em ambientes da AWS, on-premises e multinuvem, e inclui recursos como Run Command, Session Manager, Automation, Parameter Store, Patch Manager e Fleet Manager. Registrar a configuração é trabalho do Config, construir a partir de modelos é trabalho do CloudFormation, e distribuir o tráfego é trabalho do ELB.

As Instâncias Spot (スポットインスタンス) são uma opção de compra que usa a capacidade não utilizada do EC2 na Nuvem AWS, oferecendo um desconto substancial, mas com a possibilidade de interrupção. São adequadas para processamento em lote ou ambientes de teste que toleram interrupções. O compromisso com o uso é o Savings Plans, o compromisso com atributos da instância é uma Instância Reservada (リザーブドインスタンス), e não ter pagamento adiantado nem compromisso é a modalidade sob demanda (オンデマンド).

O Savings Plans é um modelo de preços que concede um desconto em troca do compromisso (コミット) com um determinado nível de uso, enquanto a Instância Reservada (リザーブドインスタンス) é um modelo de preços que concede um desconto em troca do compromisso com atributos como tipo de instância, plataforma e locação (テナンシー). Ambos têm prazo de 1 ano ou 3 anos, e o pagamento pode ser escolhido entre adiantamento total, adiantamento parcial ou sem adiantamento. Quem pode ser interrompida é a Instância Spot.

Os Compute Savings Plans são os mais flexíveis e permitem mudar de família de instâncias (インスタンスファミリー), mudar de Região, migrar entre EC2, Fargate e Lambda e mudar de SO. Os EC2 Instance Savings Plans têm compromisso com uma família de instâncias específica em uma Região específica, por isso, embora seja possível mudar o tamanho dentro da família e mudar de SO, não é possível mudar de família nem de Região. O prazo de ambos é de 1 ano ou 3 anos, e o pagamento pode ser escolhido entre adiantamento total, adiantamento parcial ou sem adiantamento.