Rețea, operare și tarifare

VPC este un serviciu care permite lansarea resurselor AWS într-o rețea virtuală definită de utilizator, izolată logic, ceea ce face posibilă construirea, pe AWS, a unei configurații foarte asemănătoare cu o rețea tradițională dintr-un centru de date propriu. Distribuirea conținutului din locațiile edge este realizată de CloudFront, înregistrarea domeniilor, rutarea DNS și verificările de stare sunt oferite de Route 53, iar conectarea printr-o legătură dedicată, ocolind ISP-ul de pe traseu, este realizată de Direct Connect.

Subrețeaua este un interval de adrese IP din interiorul unui VPC și aparține întotdeauna unei singure zone de disponibilitate. Prin urmare, o subrețea nu se poate întinde peste mai multe AZ-uri, iar dacă se dorește distribuirea pe mai multe AZ-uri, trebuie creată câte o subrețea pentru fiecare. Stabilirea direcției de trimitere revine tabelului de rutare, iar poarta către internet este internet gateway-ul — ambele fiind componente separate de subrețea.

Tabelul de rutare este tabelul care stabilește direcția de trimitere a traficului provenit dintr-o subrețea sau dintr-o poartă. Delimitarea intervalului de adrese IP revine subrețelei, conexiunea la internet este oferită de internet gateway, iar intermedierea comunicării externe pentru resursele cu adrese IP private este realizată de NAT gateway. Cele patru componente nu au roluri suprapuse.

NAT gateway este mecanismul care permite resurselor cu adrese IP private să acceseze internetul, păstrându-și în continuare caracterul privat. Deoarece intermediază doar comunicarea dinspre interior către exterior, o conexiune inițiată din exterior nu se poate stabili. Internet gateway conectează VPC-ul însuși la internet și nu este o componentă plasată în interiorul unei subrețele. Direct Connect este o legătură dedicată cu rețeaua internă a companiei, iar CloudFront este distribuire de conținut — niciunul dintre acestea nu se folosește pentru acest scop.

Route 53 este un serviciu web DNS cu disponibilitate și scalabilitate ridicate, care oferă trei funcții — înregistrarea domeniilor, rutarea DNS și verificările de stare — ce pot fi combinate liber, după nevoie. Distribuirea conținutului este realizată de CloudFront, iar distribuirea sarcinii pentru traficul primit este realizată de Elastic Load Balancing — niciuna dintre acestea nu este o funcție a Route 53.

CloudFront este un CDN care accelerează distribuirea conținutului web, atât static, cât și dinamic. Există tendința de a se crede că distribuie doar fișiere statice, dar conform descrierii oficiale, este inclus și conținutul dinamic. Distribuirea are loc prin rețeaua globală de centre de date numite locații edge, livrarea făcându-se din locația cu cea mai mică latență. Legătura dedicată cu rețeaua internă a companiei este gestionată de Direct Connect și nu este un rol al CloudFront.

Direct Connect este un serviciu care conectează rețeaua internă a companiei la o locație Direct Connect printr-un cablu de fibră optică Ethernet standard, ocolind ISP-ul de pe traseul de rețea, și creează direct o interfață virtuală către serviciile AWS. Punctul esențial este că este o legătură dedicată, care nu trece prin internet — aceasta fiind diferența față de metoda de a crea un tunel criptat peste internet.

Tabelul de rutare este tabelul care stabilește direcția de trimitere a traficului provenit dintr-o subrețea sau dintr-o poartă. O subrețea care are o rută către un internet gateway este numită, prin convenție, subrețea publică, iar cea care nu are o astfel de rută este numită subrețea privată. O subrețea aparține întotdeauna unei singure zone de disponibilitate, deci numărul de AZ-uri nu face diferența. Când o resursă dintr-o subrețea privată trebuie să iasă spre exterior, trece printr-un NAT gateway.

Originea este locul unde se păstrează sursa conținutului distribuit de CloudFront, corespunzând, de exemplu, unui bucket S3 sau unui server HTTP. Atunci când conținutul dorit nu se află la locația edge, CloudFront îl preia de la origine și îl distribuie. Punctul de cache care returnează conținutul din locul cel mai apropiat de utilizator este locația edge, stratul de cache intermediar dintre locația edge și sursa conținutului este cache-ul regional edge, iar mecanismul care direcționează în funcție de interogarea de nume este rutarea DNS din Route 53.

Route 53 este un serviciu web DNS care permite combinarea liberă a trei funcții — înregistrarea domeniilor, rutarea DNS și verificările de stare —, în funcție de nevoi. Nu este necesar ca toate cele trei să fie prezente pentru ca serviciul să funcționeze, așa că se poate delega doar rutarea DNS, păstrând domeniul obținut la altă companie, sau se poate folosi doar verificarea stării. Transferul domeniului nu este o condiție prealabilă pentru utilizare.

ALB funcționează la nivelul 7, adică nivelul aplicație, și gestionează HTTP, HTTPS și gRPC. Deoarece ajunge până la acest nivel, poate folosi conținutul HTTP ca și criteriu de decizie, permițând o distribuire flexibilă precum rutarea bazată pe conținut (content-based routing). NLB funcționează la nivelul 4 (TCP, UDP, TLS), iar Gateway Load Balancer funcționează la nivelurile 3 și 4 (IP).

NLB este un balanceur de sarcină de nivel 4, care gestionează TCP, UDP și TLS. Se alege atunci când este nevoie de o performanță extrem de ridicată și de o adresă IP statică. HTTP, HTTPS și gRPC sunt gestionate de ALB, de nivel 7, iar transmiterea transparentă a IP-ului, fără a termina fluxul, este realizată de Gateway Load Balancer. gRPC nu apare în lista de protocoale gestionate de NLB.

GWLB funcționează la nivelurile 3 și 4, iar protocolul gestionat este IP. Este un mecanism destinat plasării, pe traseul de rețea, a unor funcții de securitate sau de rețea de tip appliance, iar diferența decisivă față de celelalte două este că transmite fluxul în mod transparent, fără a-l termina. Distribuirea pe baza conținutului HTTP este specifică ALB, de nivel 7, iar adresa IP statică și UDP sunt punctele forte ale NLB, de nivel 4.

Atunci când este nevoie de o adresă IP statică, se alege NLB. NLB funcționează la nivelul 4 și este poziționat oficial ca fiind potrivit pentru situații care necesită performanță extrem de ridicată și o adresă IP statică. ALB funcționează la nivelul 7, gestionează HTTP, HTTPS și gRPC, iar punctul său forte este distribuirea în funcție de conținut. GWLB este destinat introducerii transparente a unei aplicații (appliance) pe traseu. Classic Load Balancer este o generație mai veche, care suportă TCP, SSL/TLS, HTTP și HTTPS.

ELB distribuie automat traficul aplicației primit către mai multe ținte aflate în una sau mai multe zone de disponibilitate. Nu se limitează la o singură AZ, iar faptul că poate distribui către ținte împărțite pe mai multe AZ-uri este fundamentul proiectării pentru disponibilitate. Înregistrarea numelui de domeniu este rolul Route 53, iar distribuirea din locațiile edge este rolul CloudFront.

Protocoalele gestionate de ALB sunt HTTP, HTTPS și gRPC, iar acesta funcționează la nivelul 7. Dintre acestea, doar ALB poate gestiona direct gRPC. NLB este un balanceur de nivel 4, care gestionează TCP, UDP și TLS, iar GWLB este un balanceur de nivelurile 3 și 4, care gestionează IP. Classic Load Balancer suportă TCP, SSL/TLS, HTTP și HTTPS.

NLB este un balanceur de sarcină de nivel 4, care gestionează TCP, UDP și TLS, deci poate distribui comunicarea prin UDP. Ce gestionează ALB este HTTP, HTTPS și gRPC, UDP nefiind inclus. GWLB gestionează IP, dar este destinat transmiterii transparente către o aplicație (appliance), nu unei distribuiri de sarcină obișnuite. Classic Load Balancer suportă TCP, SSL/TLS, HTTP și HTTPS.

ALB gestionează HTTP, HTTPS și gRPC la nivelul 7, NLB gestionează TCP, UDP și TLS la nivelul 4, iar GWLB gestionează IP la nivelurile 3 și 4. Se reține mai ușor gândind că, cu cât numărul este mai mare, cu atât se poate distribui pe baza unor informații de nivel mai înalt. Faptul că doar GWLB se întinde pe două niveluri se datorează faptului că transmite pachetele IP transparent, ca atare.

Distribuirea bazată pe conținutul HTTP, precum calea sau numele de gazdă, se numește rutare bazată pe conținut (content-based routing) și este punctul forte al ALB, care funcționează la nivelul 7. NLB fiind la nivelul 4, nu examinează conținutul HTTP. GWLB transmite fluxul transparent, fără a-l termina, astfel încât pentru decizia de distribuire poate folosi doar informația de la nivel IP. Și Classic Load Balancer este o construcție de generație veche, iar pentru acest scop se alege ALB.

GWLB funcționează la nivelurile 3 și 4 și este un balanceur de sarcină pregătit pentru funcții de securitate sau de rețea de tip appliance. Deoarece lasă fluxul să treacă transparent, fără a-l termina, plasarea unui dispozitiv de inspecție pe traseu nu modifică modul în care se prezintă comunicarea. ALB și NLB au rolul de a primi ele însele traficul și de a-l distribui, deci nu se folosesc pentru a-l lăsa să treacă transparent. CloudFront este un serviciu de distribuire a conținutului.

IAM este un serviciu care controlează în siguranță accesul la resursele AWS, gestionând cine este autentificat (poate face sign-in) și cine este autorizat (are permisiuni). Crearea și controlul cheilor este realizată de KMS, monitorizarea și controlul cererilor HTTP de WAF, iar stocarea și rotația acreditărilor sau a cheilor de API de Secrets Manager. Rolurile nu se suprapun.

IAM este un serviciu care gestionează „cine este autentificat (poate face sign-in) și cine este autorizat (are permisiuni)”. Autentificarea este etapa în care se confirmă identitatea persoanei, iar autorizarea este etapa ulterioară, în care se stabilește ce anume are voie să facă — ordinea și rolul lor fiind diferite. Chiar dacă cineva poate face sign-in, nu poate executa operațiuni pe care politica nu le permite. Inversarea acestor două noțiuni duce la o interpretare greșită a proiectării permisiunilor.

KMS este un serviciu gestionat care facilitează crearea și controlul cheilor folosite pentru criptare sau semnare, iar o cheie KMS este protejată de un HSM certificat conform FIPS 140-3, nivel de securitate 3. Cheia nu iese niciodată din KMS în stare necriptată. Prin urmare, nu este posibilă extragerea sau distribuirea ei în text simplu, iar operațiile de criptare sau decriptare se realizează cerându-i-le lui KMS să le execute.

WAF monitorizează cererile HTTP și HTTPS transmise către resursele aplicației web protejate și controlează accesul prin acțiuni precum permitere, blocare, numărare și CAPTCHA sau challenge. Deoarece există și opțiunea de numărare, se poate măsura mai întâi impactul, fără a bloca imediat, înainte de a transforma regula într-una de producție. Criptarea și semnarea sunt legate de KMS, înregistrarea și vizualizarea de CloudWatch, iar înregistrarea domeniilor și rezolvarea numelor de Route 53.

Shield oferă protecție împotriva atacurilor DDoS. Standard este protecția de bază, inclusă automat, fără cost suplimentar, în servicii precum AWS WAF, iar Advanced este o protecție extinsă, contra cost. Cu Advanced se obțin atenuarea automată a atacurilor DDoS de nivel 7, o vizibilitate detaliată și suport dedicat din partea Shield Response Team (SRT). Trebuie evitată varianta în care modul de facturare este inversat.

Shield Advanced este o protecție extinsă, contra cost, care oferă atenuarea automată a atacurilor DDoS de nivel 7, o vizibilitate detaliată și suport dedicat din partea Shield Response Team (SRT). Rotația este realizată de Secrets Manager, gestiunea centralizată a protecției pentru mai multe conturi de AWS Firewall Manager, iar directorul de utilizatori și emiterea de token-uri de user pool-ul din Amazon Cognito.

Secrets Manager este un serviciu care gestionează, obține și rotește, pe întregul ciclu de viață, secrete precum acreditările bazei de date, acreditările aplicației, token-urile OAuth sau cheile de API. Sign-in-ul și emiterea de token-uri sunt realizate de Cognito, înregistrarea configurației și evaluarea conformității de AWS Config, iar crearea și protejarea propriu-zisă a cheilor de KMS. Se poate reține că Secrets Manager este cel care poartă și gestionează valorile secrete.

User pool-ul este un director de utilizatori care autentifică și autorizează utilizatorii pentru aplicații sau API-uri, funcționând ca furnizor de identitate OIDC independent și emițând token-uri OAuth 2.0 sau JWT. Identity pool-ul acordă utilizatorilor autentificați sau neautentificați acces la resurse AWS, emițând acreditări AWS temporare prin AWS STS. Integrarea celor două nu este obligatorie reciproc; oricare poate fi folosit și singur.

Identity pool-ul este mecanismul care acordă utilizatorilor autentificați sau neautentificați acces la resurse AWS, emițând acreditări AWS temporare prin AWS STS. Ceea ce emite user pool-ul sunt token-uri OAuth 2.0 sau JWT, care nu sunt acreditări pentru apelarea directă a API-urilor AWS. Distribuirea de acreditări pe termen lung sau crearea unui utilizator IAM pentru fiecare utilizator nu sunt proiectări potrivite pentru acest scop.

Firewall Manager este un serviciu care gestionează centralizat, pe mai multe conturi și resurse, protecții precum AWS WAF, Shield Advanced, grupurile de securitate și ACL-urile de rețea din VPC, Network Firewall și Route 53 Resolver DNS Firewall. Inspectarea propriu-zisă a fiecărei cereri este realizată de WAF însuși, crearea cheilor de KMS, iar gestionarea informațiilor de sign-in de Cognito.

CloudWatch monitorizează în timp real resursele AWS și aplicațiile care rulează pe acestea, oferind vizibilitate asupra performanței, stării operaționale și utilizării resurselor prin metrici, jurnale, alarme și dashboard-uri. Înregistrarea operațiunilor API efectuate de fiecare utilizator este realizată de CloudTrail, înregistrarea configurației și a modificărilor de AWS Config, iar construirea resurselor pe baza unor șabloane de CloudFormation.

CloudTrail înregistrează ca evenimente acțiunile realizate de utilizatori, roluri sau servicii AWS. Sunt vizate operațiunile efectuate prin consola de administrare, CLI, SDK sau API, ceea ce permite urmărirea ulterioară a persoanei care a efectuat o anumită operațiune API. CloudWatch monitorizează performanța și starea, CloudFormation se ocupă de construirea pe baza șabloanelor, iar Systems Manager de operațiunile de gestiune ale nodurilor — niciunul dintre acestea nu are ca scop urmărirea autorului unei operațiuni.

Config oferă o imagine detaliată a configurației resurselor AWS, înregistrând relațiile dintre resurse și modul în care au fost configurate în trecut, astfel încât modificările de configurație pot fi urmărite. În plus, prin regulile Config, evaluează configurația și marchează drept neconforme resursele care încalcă regulile. Monitorizarea pragurilor este rolul CloudWatch, construirea pe baza șabloanelor este rolul CloudFormation, iar înregistrarea operațiunilor este rolul CloudTrail.

Cele trei se rețin împreună: CloudWatch monitorizează în timp real performanța și starea, CloudTrail înregistrează cine a efectuat ce operațiune API, iar Config înregistrează configurația resurselor și evaluează conformitatea. Nu sunt servicii concurente — traseele (trails) din CloudTrail sunt stocate într-un bucket S3 și pot fi, opțional, livrate și către CloudWatch Logs. Astfel, CloudTrail este partea care trimite, iar CloudWatch Logs partea care primește.

În CloudFormation, atunci când se creează un șablon — un fișier text care descrie resursele necesare —, CloudFormation provizionează și configurează resursele exact conform acestuia. Grupul de resurse create poate fi gestionat împreună ca o singură unitate numită stack, care poate fi și șters în bloc. Astfel, șablonul corespunde proiectului, iar stack-ul grupului de rezultate create.

Grupul de resurse creat de CloudFormation poate fi gestionat ca o singură unitate, numită stack, și poate fi și șters în bloc. Nu este limitat la o gestiune individuală; ștergerea stack-ului șterge, în bloc, și resursele conținute în el. Înregistrarea cronologică a modificărilor de configurație este rolul AWS Config. Posibilitatea de a construi și de a șterge în bloc este unul dintre avantajele tratării infrastructurii ca și cod.

Systems Manager este o interfață unificată pentru vizualizarea, gestionarea și operarea centralizată, la scară largă, a nodurilor din medii AWS, on-premises sau multi-cloud, incluzând Run Command, Session Manager, Automation, Parameter Store, Patch Manager, Fleet Manager și altele. Înregistrarea configurației este rolul Config, construirea pe baza șabloanelor rolul CloudFormation, iar distribuirea traficului rolul ELB.

Instanțele spot sunt o opțiune de achiziție care folosește capacitatea EC2 neutilizată din cloud-ul AWS, oferind reduceri semnificative, dar cu posibilitatea de a fi întrerupte. Sunt potrivite pentru procesări batch sau medii de testare care pot tolera întreruperi. Angajamentul la un anumit nivel de utilizare este specific Savings Plans, angajamentul la atributele instanței este specific instanțelor rezervate, iar lipsa oricărei plăți în avans sau angajament este specifică opțiunii on-demand.

Savings Plans este un model de tarifare în care se obține o reducere în schimbul angajării la un anumit nivel de utilizare, iar instanțele rezervate reprezintă un model de tarifare în care reducerea se obține în schimbul angajării la atribute precum tipul de instanță, platforma și tenancy. Ambele au perioade de 1 sau 3 ani, iar plata poate fi aleasă între integral în avans, parțial în avans sau fără plată în avans. Cele care pot fi întrerupte sunt instanțele spot.

Compute Savings Plans este cel mai flexibil, permițând schimbarea familiei de instanțe, schimbarea regiunii, migrarea între EC2, Fargate și Lambda, precum și schimbarea sistemului de operare. EC2 Instance Savings Plans presupune angajament față de o familie de instanțe specifică, dintr-o regiune specifică, astfel încât se poate schimba dimensiunea în cadrul familiei sau sistemul de operare, dar nu se poate schimba familia sau regiunea. Ambele au perioade de 1 sau 3 ani, iar plata se alege între integral în avans, parțial în avans sau fără plată în avans.