เครือข่าย การดำเนินงาน และค่าบริการ

VPC เป็นบริการที่ทำให้สามารถเริ่มใช้ทรัพยากร AWS ในเครือข่ายเสมือนที่แยกเชิงตรรกะและกำหนดเองได้ โดยสามารถสร้างโครงสร้างที่คล้ายกับเครือข่ายแบบดั้งเดิมของศูนย์ข้อมูลของตนเองขึ้นบน AWS ได้ การกระจายเนื้อหาจาก Edge Location คือ CloudFront การจดทะเบียนโดเมน การกำหนดเส้นทาง DNS และการตรวจสุขภาพคือ Route 53 ส่วนการเชื่อมต่อเฉพาะที่ข้าม ISP ระหว่างทางคือ Direct Connect

ซับเน็ตคือช่วง IP แอดเดรสภายใน VPC ซึ่งจะต้องอยู่ในโซนความพร้อมใช้งานเดียวเท่านั้น ดังนั้นซับเน็ตจะไม่ข้าม AZ หากต้องการกระจายไปยังหลาย AZ จะต้องสร้างซับเน็ตแยกตาม AZ การกำหนดปลายทางของการสื่อสารคือตารางเส้นทาง (Route Table) ส่วนทางเข้าออกสู่อินเทอร์เน็ตคือ Internet Gateway ซึ่งเป็นส่วนประกอบที่แตกต่างจากซับเน็ต

ตารางเส้นทางคือตารางที่กำหนดปลายทางของทราฟฟิกที่มาจากซับเน็ตหรือเกตเวย์ การแยกช่วง IP แอดเดรสคือซับเน็ต การให้การเชื่อมต่ออินเทอร์เน็ตคือ Internet Gateway ส่วนการเป็นตัวแทนสื่อสารขาออกให้กับทรัพยากรที่มี IP ส่วนตัวคือ NAT Gateway ส่วนประกอบทั้ง 4 นี้มีบทบาทที่ไม่ซ้อนทับกัน

NAT Gateway เป็นกลไกที่ทำให้ทรัพยากรที่มี IP แอดเดรสส่วนตัวสามารถเข้าถึงอินเทอร์เน็ตได้ในขณะที่ยังคงเป็น IP ส่วนตัว เนื่องจากเป็นเพียงตัวแทนสื่อสารจากภายในสู่ภายนอก การเชื่อมต่อจากภายนอกเข้ามาจึงไม่สามารถทำได้ Internet Gateway เป็นสิ่งที่เชื่อมต่อ VPC เองเข้ากับอินเทอร์เน็ต ไม่ใช่ส่วนประกอบที่วางไว้ภายในซับเน็ต Direct Connect เป็นการเชื่อมต่อเฉพาะกับเครือข่ายภายในบริษัท ส่วน CloudFront เป็นการกระจายเนื้อหา ซึ่งทั้งสองไม่ได้ใช้กับวัตถุประสงค์นี้

Route 53 เป็นบริการเว็บ DNS ที่มีความสามารถขยายขนาดและความพร้อมใช้งานสูง มี 3 ฟังก์ชัน คือ การจดทะเบียนโดเมน การกำหนดเส้นทาง DNS และการตรวจสุขภาพ ซึ่งสามารถผสมผสานใช้งานตามต้องการได้ การกระจายเนื้อหาเป็นบทบาทของ CloudFront ส่วนการกระจายโหลดของทราฟฟิกขาเข้าเป็นบทบาทของ Elastic Load Balancing ซึ่งไม่ใช่ฟังก์ชันของ Route 53

CloudFront เป็น CDN ที่เร่งการกระจายเนื้อหาเว็บทั้งแบบสแตติกและแบบไดนามิกให้เร็วขึ้น หลายคนเข้าใจผิดว่าเป็นกลไกที่กระจายเฉพาะไฟล์แบบสแตติกเท่านั้น แต่คำอธิบายอย่างเป็นทางการรวมเนื้อหาแบบไดนามิกด้วย การกระจายจะทำผ่านเครือข่ายศูนย์ข้อมูลทั่วโลกที่เรียกว่า Edge Location และจะถูกส่งจากจุดที่มีเลเทนซีต่ำที่สุด การจัดการการเชื่อมต่อเฉพาะกับเครือข่ายภายในบริษัทเป็นบทบาทของ Direct Connect ไม่ใช่บทบาทของ CloudFront

Direct Connect เป็นบริการที่เชื่อมเครือข่ายภายในบริษัทกับสถานที่ตั้ง Direct Connect Location ด้วยสายไฟเบอร์ออปติกอีเทอร์เน็ตมาตรฐาน ข้าม ISP ระหว่างทาง และสร้าง Virtual Interface เชื่อมต่อไปยังบริการ AWS โดยตรง จุดสำคัญคือเป็นการเชื่อมต่อเฉพาะที่ไม่ผ่านอินเทอร์เน็ต ซึ่งแตกต่างจากวิธีสร้างอุโมงค์เข้ารหัสบนอินเทอร์เน็ต

ตารางเส้นทางคือตารางที่กำหนดปลายทางของทราฟฟิกที่มาจากซับเน็ตหรือเกตเวย์ ซับเน็ตที่มีเส้นทางไปยัง Internet Gateway จะถูกเรียกตามธรรมเนียมว่าซับเน็ตสาธารณะ ส่วนที่ไม่มีจะเรียกว่าซับเน็ตส่วนตัว ซับเน็ตจะต้องอยู่ในโซนความพร้อมใช้งานเดียวเสมอ จึงไม่สามารถแยกได้ด้วยจำนวน AZ เมื่อทรัพยากรในซับเน็ตส่วนตัวต้องออกไปข้างนอก จะผ่าน NAT Gateway

Origin คือสถานที่ที่เก็บต้นฉบับของเนื้อหาที่ CloudFront กระจาย ตรงกับ S3 bucket หรือเซิร์ฟเวอร์ HTTP เมื่อไม่มีเนื้อหาที่ต้องการอยู่ที่ Edge Location, CloudFront จะดึงจาก Origin มากระจาย จุดที่ส่งคืนเนื้อหาจากตำแหน่งใกล้ผู้ใช้ที่สุดคือ Edge Location ชั้นแคชกลางที่อยู่ระหว่าง Edge Location กับต้นฉบับของเนื้อหาคือ Regional Edge Cache ส่วนการนำไปยังปลายทางตามการค้นหาชื่อคือการกำหนดเส้นทาง DNS ของ Route 53

Route 53 เป็นบริการเว็บ DNS ที่สามารถผสมผสาน 3 ฟังก์ชัน คือ การจดทะเบียนโดเมน การกำหนดเส้นทาง DNS และการตรวจสุขภาพ ตามที่ต้องการได้ ไม่ใช่ความสัมพันธ์ที่ต้องมีครบทั้ง 3 ฟังก์ชันจึงจะทำงานได้ จึงสามารถฝากเฉพาะการกำหนดเส้นทาง DNS โดยที่โดเมนยังคงจดทะเบียนไว้กับบริษัทอื่น หรือใช้เฉพาะการตรวจสุขภาพเท่านั้นก็ได้ การย้ายโดเมนไม่ใช่เงื่อนไขก่อนการใช้งาน

ALB ทำงานอยู่ในเลเยอร์ 7 คือเลเยอร์แอปพลิเคชัน จัดการโปรโตคอล HTTP, HTTPS, gRPC เนื่องจากมองเห็นถึงระดับนี้ จึงสามารถใช้เนื้อหาของ HTTP เป็นเกณฑ์ตัดสินและทำการกระจายที่ยืดหยุ่นอย่าง Content-Based Routing ได้ ตัวที่ทำงานในเลเยอร์ 4 คือ NLB (TCP, UDP, TLS) และตัวที่ทำงานในเลเยอร์ 3 และ 4 คือ Gateway Load Balancer (IP)

NLB เป็นโหลดบาลานเซอร์เลเยอร์ 4 ที่จัดการ TCP, UDP, TLS เลือกใช้เมื่อต้องการประสิทธิภาพสูงมากและต้องการ IP แอดเดรสแบบคงที่ ตัวที่จัดการ HTTP, HTTPS, gRPC คือ ALB ในเลเยอร์ 7 ส่วนตัวที่จัดการ IP และส่งผ่านโดยไม่ยุติโฟลว์คือ Gateway Load Balancer gRPC ไม่ได้อยู่ในตารางที่ NLB รองรับ

GWLB ทำงานในเลเยอร์ 3 และ 4 โปรโตคอลที่จัดการคือ IP เป็นกลไกสำหรับวางฟังก์ชันด้านความปลอดภัยหรือเครือข่ายแบบอุปกรณ์ไว้บนเส้นทาง จุดที่แตกต่างจากอีก 2 ตัวอย่างชัดเจนคือการส่งผ่านโดยไม่ยุติโฟลว์ การดูเนื้อหา HTTP แล้วกระจายคือ ALB ในเลเยอร์ 7 ส่วน IP แอดเดรสแบบคงที่และ UDP เป็นจุดเด่นของ NLB ในเลเยอร์ 4

หากต้องการ IP แอดเดรสแบบคงที่ ให้เลือก NLB ทาง AWS ระบุไว้อย่างเป็นทางการว่า NLB ทำงานในเลเยอร์ 4 เหมาะกับสถานการณ์ที่ต้องการประสิทธิภาพสูงมากและ IP แบบคงที่ ALB ทำงานในเลเยอร์ 7 จัดการ HTTP, HTTPS, gRPC และมีจุดเด่นคือการกระจายตามเนื้อหา GWLB ใช้สำหรับแทรกอุปกรณ์แบบโปร่งใส ส่วน Classic Load Balancer เป็นรุ่นเก่าที่รองรับ TCP, SSL/TLS, HTTP, HTTPS

ELB กระจายทราฟฟิกแอปพลิเคชันที่รับเข้ามาไปยังเป้าหมายหลายเป้าหมายที่อยู่ในโซนความพร้อมใช้งานตั้งแต่ 1 แห่งขึ้นไปโดยอัตโนมัติ ไม่ได้ปิดอยู่แค่ AZ เดียว การสามารถกระจายไปยังเป้าหมายที่แยกไว้ในหลาย AZ เป็นรากฐานของการออกแบบเพื่อความพร้อมใช้งาน การจดทะเบียนชื่อโดเมนเป็นบทบาทของ Route 53 ส่วนการกระจายจาก Edge Location เป็นบทบาทของ CloudFront

โปรโตคอลที่ ALB จัดการคือ HTTP, HTTPS, gRPC และทำงานในเลเยอร์ 7 ในบรรดาตัวเลือกทั้งหมด มีเพียง ALB เท่านั้นที่จัดการ gRPC ได้โดยตรง NLB เป็นโหลดบาลานเซอร์เลเยอร์ 4 ที่จัดการ TCP, UDP, TLS ส่วน GWLB เป็นโหลดบาลานเซอร์เลเยอร์ 3 และ 4 ที่จัดการ IP Classic Load Balancer รองรับ TCP, SSL/TLS, HTTP, HTTPS

NLB เป็นโหลดบาลานเซอร์เลเยอร์ 4 ที่จัดการ TCP, UDP, TLS จึงสามารถกระจายการสื่อสารที่ใช้ UDP ได้ สิ่งที่ ALB จัดการคือ HTTP, HTTPS, gRPC ซึ่งไม่รวม UDP GWLB จัดการ IP แต่มีไว้เพื่อส่งผ่านไปยังอุปกรณ์แบบโปร่งใส ไม่ใช่สำหรับการกระจายโหลดทั่วไป Classic Load Balancer รองรับ TCP, SSL/TLS, HTTP, HTTPS

ALB จัดการ HTTP, HTTPS, gRPC ในเลเยอร์ 7 NLB จัดการ TCP, UDP, TLS ในเลเยอร์ 4 และ GWLB จัดการ IP ในเลเยอร์ 3 และ 4 หากจำว่ายิ่งหมายเลขมากขึ้นเท่าใด ยิ่งมองเห็นข้อมูลระดับสูงขึ้นในการกระจาย ก็จะจำลำดับได้ง่ายขึ้น เหตุที่มีเพียง GWLB ที่ครอบคลุม 2 เลเยอร์พร้อมกัน เป็นเพราะคุณสมบัติที่ส่งแพ็กเก็ต IP ผ่านไปโดยตรงแบบโปร่งใส

การกระจายตามเนื้อหาของ HTTP เช่นพาธหรือชื่อโฮสต์ เรียกว่า Content-Based Routing เป็นจุดเด่นของ ALB ที่ทำงานในเลเยอร์ 7 NLB อยู่ในเลเยอร์ 4 จึงไม่มองเห็นเนื้อหาของ HTTP GWLB เป็นตัวที่ส่งผ่านโฟลว์โดยไม่ยุติ สิ่งที่ใช้ตัดสินได้มีเพียงระดับ IP เท่านั้น Classic Load Balancer ก็เป็นรุ่นเก่าเช่นกัน สำหรับการใช้งานนี้ควรเลือก ALB

GWLB ทำงานในเลเยอร์ 3 และ 4 เป็นโหลดบาลานเซอร์ที่เตรียมไว้สำหรับฟังก์ชันด้านความปลอดภัยหรือเครือข่ายแบบอุปกรณ์ เนื่องจากส่งผ่านโดยไม่ยุติโฟลว์ แม้จะแทรกอุปกรณ์ตรวจสอบไว้ระหว่างทาง ลักษณะของการสื่อสารก็จะไม่เปลี่ยนไป ALB และ NLB มีบทบาทรับทราฟฟิกเองแล้วกระจาย ไม่ใช่วิธีใช้แบบส่งผ่าน CloudFront เป็นบริการกระจายเนื้อหา

IAM เป็นบริการที่ควบคุมการเข้าถึงทรัพยากร AWS อย่างปลอดภัย โดยจัดการว่าใครได้รับการยืนยันตัวตน (Authentication หรือ Sign-in) และใครได้รับสิทธิ์ (Authorization) การสร้างและควบคุมการใช้งานคีย์เป็นหน้าที่ของ KMS การตรวจสอบและควบคุมคำร้องขอ HTTP เป็นหน้าที่ของ WAF ส่วนการจัดเก็บและหมุนเวียนข้อมูลรับรองหรือ API Key เป็นหน้าที่ของ Secrets Manager ซึ่งบทบาทของแต่ละบริการไม่ซ้อนทับกัน

IAM เป็นบริการที่จัดการว่าใครได้รับการยืนยันตัวตน (ลงชื่อเข้าใช้) และใครได้รับสิทธิ์ (มีสิทธิ์) การยืนยันตัวตนเป็นขั้นตอนที่ตรวจสอบว่าเป็นตัวจริงหรือไม่ ส่วนการให้สิทธิ์เป็นขั้นตอนถัดไปที่ตัดสินว่าจะทำอะไรได้บ้าง ลำดับและบทบาทจึงต่างกัน แม้จะลงชื่อเข้าใช้ได้ ก็ไม่สามารถดำเนินการที่ไม่ได้รับอนุญาตตามนโยบายได้ หากจำสลับกันจะอ่านการออกแบบสิทธิ์ผิดพลาด

KMS เป็นบริการแบบจัดการให้ที่ทำให้การสร้างและควบคุมคีย์ที่ใช้เข้ารหัสหรือลงลายเซ็นทำได้ง่ายขึ้น โดย KMS Key ได้รับการปกป้องด้วย HSM ที่ผ่านการรับรองมาตรฐาน FIPS 140-3 ระดับความปลอดภัยระดับ 3 คีย์จะไม่ออกจาก KMS ในสถานะที่ไม่ได้เข้ารหัส ดังนั้นการดึงออกมาหรือแจกจ่ายเป็นข้อความล้วนจึงเป็นไปไม่ได้ การใช้งานจึงเป็นการขอให้ KMS ทำการเข้ารหัสหรือถอดรหัสให้แทน

WAF จะตรวจสอบคำร้องขอ HTTP และ HTTPS ที่ถูกส่งต่อไปยังทรัพยากรเว็บแอปพลิเคชันที่ได้รับการปกป้อง และควบคุมการเข้าถึงด้วยการดำเนินการ เช่น อนุญาต บล็อก นับจำนวน CAPTCHA หรือชาเลนจ์ เนื่องจากมีการนับจำนวน จึงสามารถวัดผลกระทบก่อนที่จะบล็อกทันทีแล้วค่อยนำไปใช้เป็นกฎจริงได้ การเข้ารหัสและการลงลายเซ็นเกี่ยวข้องกับ KMS การบันทึกและการแสดงผลเกี่ยวข้องกับ CloudWatch ส่วนการจดทะเบียนโดเมนและการแปลงชื่อเกี่ยวข้องกับ Route 53

Shield ทำหน้าที่ปกป้องจากการโจมตี DDoS Standard เป็นการปกป้องพื้นฐานที่รวมอยู่โดยอัตโนมัติโดยไม่มีค่าใช้จ่ายเพิ่มกับบริการอย่าง AWS WAF ในขณะที่ Advanced เป็นการปกป้องขั้นสูงที่มีค่าใช้จ่ายเพิ่ม สำหรับ Advanced จะได้รับการบรรเทาการโจมตี DDoS แบบเลเยอร์ 7 อัตโนมัติ การมองเห็นอย่างละเอียด และการสนับสนุนเฉพาะจาก Shield Response Team (SRT) ควรระวังตัวเลือกที่สลับด้านค่าใช้จ่ายให้กลับกัน

Shield Advanced เป็นการปกป้องขั้นสูงที่มีค่าใช้จ่ายเพิ่ม ให้บริการบรรเทาการโจมตี DDoS แบบเลเยอร์ 7 อัตโนมัติ การมองเห็นอย่างละเอียด และการสนับสนุนเฉพาะจาก Shield Response Team (SRT) การหมุนเวียนข้อมูลรับรองเป็นหน้าที่ของ Secrets Manager การจัดการการปกป้องแบบรวมศูนย์ข้ามหลายบัญชีเป็นหน้าที่ของ AWS Firewall Manager ส่วนไดเรกทอรีผู้ใช้และการออกโทเคนเป็นหน้าที่ของ User Pool ของ Amazon Cognito

Secrets Manager เป็นบริการที่จัดการ ดึงข้อมูล และหมุนเวียนความลับ เช่น ข้อมูลรับรองฐานข้อมูล ข้อมูลรับรองแอปพลิเคชัน โทเคน OAuth และ API Key ตลอดวงจรชีวิต การลงชื่อเข้าใช้และการออกโทเคนเป็นหน้าที่ของ Cognito การบันทึกการกำหนดค่าและการประเมินความสอดคล้องเป็นหน้าที่ของ AWS Config ส่วนการสร้างและปกป้องคีย์เองเป็นหน้าที่ของ KMS ควรจำว่า Secrets Manager คือตัวที่ถือค่าไว้และหมุนเวียนให้

User Pool เป็นไดเรกทอรีผู้ใช้ที่ทำหน้าที่ยืนยันตัวตนและให้สิทธิ์แก่ผู้ใช้ต่อแอปหรือ API ทำหน้าที่เป็น OIDC IdP อิสระ และออกโทเคน OAuth 2.0 หรือ JWT Identity Pool ทำหน้าที่ให้สิทธิ์การเข้าถึงทรัพยากร AWS แก่ผู้ใช้ที่ยืนยันตัวตนแล้วหรือยังไม่ได้ยืนยันตัวตน โดยออกข้อมูลรับรอง AWS แบบชั่วคราวผ่าน AWS STS การรวมกันของทั้งสองไม่ใช่สิ่งจำเป็นต่อกัน สามารถใช้เพียงตัวเดียวก็ได้

Identity Pool เป็นกลไกที่ให้สิทธิ์การเข้าถึงทรัพยากร AWS แก่ผู้ใช้ที่ยืนยันตัวตนแล้วหรือยังไม่ได้ยืนยันตัวตน โดยออกข้อมูลรับรอง AWS แบบชั่วคราวผ่าน AWS STS สิ่งที่ User Pool ออกให้คือโทเคน OAuth 2.0 หรือ JWT ซึ่งไม่ใช่ข้อมูลรับรองสำหรับเรียก API ของ AWS โดยตรง การแจกจ่ายข้อมูลรับรองระยะยาวหรือการสร้าง IAM User ให้ผู้ใช้แต่ละคนไม่เหมาะกับการใช้งานนี้

Firewall Manager เป็นบริการที่จัดการการปกป้องอย่าง AWS WAF, Shield Advanced, Security Group และ Network ACL ของ VPC, Network Firewall, Route 53 Resolver DNS Firewall แบบรวมศูนย์ข้ามหลายบัญชีและหลายทรัพยากร การตรวจสอบคำร้องขอทีละรายการเป็นหน้าที่ของ WAF เอง การสร้างคีย์เป็นหน้าที่ของ KMS ส่วนการจัดการข้อมูลลงชื่อเข้าใช้เป็นหน้าที่ของ Cognito

CloudWatch จะเฝ้าติดตามทรัพยากร AWS และแอปพลิเคชันที่ทำงานอยู่บนนั้นแบบเรียลไทม์ ทำให้เห็นภาพประสิทธิภาพ สถานะการทำงาน และอัตราการใช้ทรัพยากร ด้วยเมตริก บันทึก การแจ้งเตือน และแดชบอร์ด การบันทึกว่าใครทำการดำเนินการ API ใดเป็นหน้าที่ของ CloudTrail การบันทึกการกำหนดค่าและการเปลี่ยนแปลงเป็นหน้าที่ของ AWS Config ส่วนการสร้างทรัพยากรจากเทมเพลตเป็นหน้าที่ของ CloudFormation

CloudTrail จะบันทึกการดำเนินการที่ผู้ใช้ โรล หรือบริการ AWS ทำไว้ในฐานะเหตุการณ์ ครอบคลุมการดำเนินการผ่านคอนโซลการจัดการ CLI SDK หรือ API ทำให้สามารถย้อนดูภายหลังได้ว่าใครทำการดำเนินการ API ใด CloudWatch เฝ้าติดตามประสิทธิภาพและสถานะ CloudFormation สร้างทรัพยากรจากเทมเพลต ส่วน Systems Manager จัดการการดำเนินการของโหนด ซึ่งไม่ใช่การใช้งานเพื่อตามรอยผู้ที่ทำการดำเนินการ

Config ให้มุมมองรายละเอียดของการกำหนดค่าทรัพยากร AWS บันทึกความสัมพันธ์ระหว่างทรัพยากรและการกำหนดค่าในอดีตเพื่อให้ติดตามการเปลี่ยนแปลงของการกำหนดค่าได้ นอกจากนี้ยังใช้กฎของ Config เพื่อประเมินการกำหนดค่า และตั้งค่าสถานะทรัพยากรที่ละเมิดว่าไม่สอดคล้อง การเฝ้าติดตามค่าเกินขีดจำกัดเป็นหน้าที่ของ CloudWatch การสร้างจากเทมเพลตเป็นหน้าที่ของ CloudFormation ส่วนการบันทึกการดำเนินการเป็นหน้าที่ของ CloudTrail

ทั้ง 3 บริการควรจำเรียงคู่กัน คือ CloudWatch เฝ้าติดตามประสิทธิภาพและสถานะแบบเรียลไทม์ CloudTrail บันทึกว่าใครทำการดำเนินการ API ใด และ Config บันทึกการกำหนดค่าของทรัพยากรและประเมินความสอดคล้อง ทั้งสามไม่ใช่บริการที่แข่งขันกัน โดย Trail ของ CloudTrail จะถูกจัดเก็บไว้ใน S3 bucket และสามารถส่งไปยัง CloudWatch Logs เพิ่มเติมได้ด้วยตัวเลือก ซึ่งเป็นความสัมพันธ์ที่ CloudTrail เป็นฝั่งส่งและ CloudWatch Logs เป็นฝั่งรับ

ใน CloudFormation เมื่อสร้างเทมเพลตซึ่งเป็นไฟล์ข้อความที่ระบุทรัพยากรที่จำเป็น CloudFormation จะจัดสรรและตั้งค่าทรัพยากรตามนั้น กลุ่มทรัพยากรที่ถูกสร้างขึ้นจะสามารถจัดการรวมกันเป็นหน่วยเดียวที่เรียกว่าสแตก และสามารถลบพร้อมกันได้ด้วย ความสัมพันธ์คือเทมเพลตเป็นแบบร่าง ส่วนสแตกคือกลุ่มก้อนของสิ่งที่สร้างเสร็จแล้ว

กลุ่มทรัพยากรที่ CloudFormation สร้างขึ้นสามารถจัดการรวมกันเป็นหน่วยเดียวในชื่อสแตก และสามารถลบพร้อมกันได้ด้วย ไม่ใช่ว่าจัดการได้เฉพาะทีละรายการ หากลบสแตก ทรัพยากรที่อยู่ในนั้นก็จะถูกลบไปพร้อมกัน การบันทึกการเปลี่ยนแปลงการกำหนดค่าตามลำดับเวลาเป็นหน้าที่ของ AWS Config การสร้างพร้อมกันและลบพร้อมกันได้คือข้อดีของการจัดการโครงสร้างพื้นฐานในรูปแบบโค้ด

Systems Manager เป็นอินเทอร์เฟซรวมศูนย์สำหรับแสดง จัดการ และดำเนินการโหนดในสภาพแวดล้อม AWS ออนพรีมิส หรือมัลติคลาวด์ ในขนาดใหญ่ ประกอบด้วย Run Command, Session Manager, Automation, Parameter Store, Patch Manager, Fleet Manager เป็นต้น การบันทึกการกำหนดค่าเป็นหน้าที่ของ Config การสร้างจากเทมเพลตเป็นหน้าที่ของ CloudFormation ส่วนการกระจายทราฟฟิกเป็นหน้าที่ของ ELB

สปอตอินสแตนซ์เป็นตัวเลือกการซื้อที่ใช้ความจุ EC2 ที่ไม่ได้ใช้งานของคลาวด์ AWS ได้รับส่วนลดจำนวนมาก แต่ก็อาจถูกขัดจังหวะได้ เหมาะกับงานประมวลผลแบบแบตช์หรือสภาพแวดล้อมทดสอบที่ยอมรับการถูกขัดจังหวะได้ การผูกมัดปริมาณการใช้งานคือ Savings Plans การผูกมัดคุณสมบัติของอินสแตนซ์คือ Reserved Instance ส่วนการไม่มีการจ่ายล่วงหน้าและข้อผูกมัดคือ On-Demand

Savings Plans เป็นรูปแบบราคาที่ได้รับส่วนลดแลกกับการผูกมัดปริมาณการใช้งานที่แน่นอน ส่วน Reserved Instance เป็นรูปแบบราคาที่ได้รับส่วนลดแลกกับการผูกมัดคุณสมบัติของอินสแตนซ์ เช่น ประเภทอินสแตนซ์ แพลตฟอร์ม และเทแนนซี ทั้งสองมีระยะเวลาเลือกได้ 1 ปีหรือ 3 ปี และเลือกวิธีจ่ายได้ทั้งจ่ายเต็มล่วงหน้า จ่ายบางส่วนล่วงหน้า หรือไม่จ่ายล่วงหน้า สิ่งที่อาจถูกขัดจังหวะได้คือสปอตอินสแตนซ์

Compute Savings Plans มีความยืดหยุ่นมากที่สุด รองรับการเปลี่ยนตระกูลอินสแตนซ์ การเปลี่ยนภูมิภาค การย้ายระหว่าง EC2, Fargate และ Lambda และการเปลี่ยน OS EC2 Instance Savings Plans ผูกมัดกับตระกูลอินสแตนซ์เฉพาะในภูมิภาคเฉพาะ จึงสามารถเปลี่ยนขนาดภายในตระกูลเดียวกันหรือเปลี่ยน OS ได้ แต่เปลี่ยนตระกูลหรือภูมิภาคไม่ได้ ทั้งสองมีระยะเวลาเลือกได้ 1 ปีหรือ 3 ปี และเลือกวิธีจ่ายได้ทั้งจ่ายเต็มล่วงหน้า จ่ายบางส่วนล่วงหน้า หรือไม่จ่ายล่วงหน้า