نیٹ ورکنگ، آپریشنز اور قیمتوں کا تعین

VPC ایسی سروس ہے جو آپ کو خود متعین کیے گئے، منطقی طور پر الگ ورچوئل نیٹ ورک (仮想ネットワーク) کے اندر AWS ریسورسز لانچ کرنے دیتی ہے، جس سے آپ AWS پر اپنے ڈیٹا سینٹر کے روایتی نیٹ ورک سے بہت ملتی جلتی ترتیب بنا سکتے ہیں۔ ایج لوکیشنز (エッジロケーション) سے مواد پہنچانا CloudFront کا کام ہے، ڈومین رجسٹریشن، DNS روٹنگ اور ہیلتھ چیک فراہم کرنا Route 53 کا کام ہے، اور راستے کے ISPs کو بائی پاس کرنے والا مخصوص کنکشن قائم کرنا Direct Connect کا کام ہے۔

سب نیٹ (サブネット)، VPC کے اندر IP ایڈریس کی ایسی رینج ہے جو ہمیشہ ایک ہی Availability Zone (アベイラビリティゾーン) سے تعلق رکھتی ہے۔ اس لیے سب نیٹ AZs کے پار نہیں پھیل سکتا، اور متعدد AZs میں تقسیم کرنے کا مطلب ہر AZ کے لیے ایک سب نیٹ بنانا ہے۔ ٹریفک کی منزل طے کرنا روٹ ٹیبل (ルートテーブル) کا کام ہے، اور انٹرنیٹ کا دروازہ انٹرنیٹ گیٹ وے (インターネットゲートウェイ) ہے — یہ دونوں سب نیٹ سے الگ اجزا ہیں۔

روٹ ٹیبل (ルートテーブル) وہ ٹیبل ہے جو سب نیٹ یا گیٹ وے سے آنے والی ٹریفک کی منزل طے کرتا ہے۔ IP ایڈریس رینج الگ کرنا سب نیٹ کا کام ہے، انٹرنیٹ سے کنکشن فراہم کرنا انٹرنیٹ گیٹ وے کا کام ہے، اور پرائیویٹ IP والے ریسورسز کے لیے باہر جانے والی ٹریفک کو پراکسی کرنا NAT گیٹ وے (NATゲートウェイ) کا کام ہے۔ ان چاروں اجزا کے کردار ایک دوسرے سے نہیں ٹکراتے۔

NAT گیٹ وے (NATゲートウェイ) ایسا نظام ہے جو پرائیویٹ IP ایڈریس والے ریسورس کو پرائیویٹ رہتے ہوئے انٹرنیٹ تک رسائی دیتا ہے۔ چونکہ یہ صرف اندر سے باہر جانے والی ٹریفک کو پراکسی کرتا ہے، اس کے ذریعے باہر سے اندر آنے والا کنکشن قائم نہیں ہو سکتا۔ انٹرنیٹ گیٹ وے (インターネットゲートウェイ) خود VPC کو انٹرنیٹ سے جوڑتا ہے اور سب نیٹ کے اندر رکھا جانے والا جزو نہیں ہے۔ Direct Connect آن پریمیسز نیٹ ورک سے مخصوص کنکشن ہے، اور CloudFront مواد کی ترسیل کی سروس ہے — ان میں سے کوئی بھی اس مقصد کے لیے استعمال نہیں ہوتا۔

Route 53 ایک انتہائی دستیاب اور اسکیل ایبل DNS ویب سروس ہے جس کے تین افعال ہیں — ڈومین رجسٹریشن، DNS روٹنگ اور ہیلتھ چیکنگ (ヘルスチェック) — جنہیں آپ ضرورت کے مطابق کسی بھی طرح ملا کر استعمال کر سکتے ہیں۔ مواد کی ترسیل CloudFront کا کام ہے، اور آنے والی ٹریفک تقسیم کرنا (負荷分散) Elastic Load Balancing کا کام ہے؛ ان میں سے کوئی بھی Route 53 کا فعل نہیں ہے۔

CloudFront ایک CDN ہے جو جامد اور متحرک (静的および動的) دونوں طرح کے ویب مواد کی ترسیل کو تیز کرتا ہے۔ اکثر یہ سمجھا جاتا ہے کہ یہ صرف جامد فائلیں پہنچاتا ہے، لیکن سرکاری وضاحت میں متحرک مواد بھی شامل ہے۔ ترسیل ایج لوکیشنز (エッジロケーション) کہلانے والے ڈیٹا سینٹرز کے عالمی نیٹ ورک کے ذریعے ہوتی ہے، اس لوکیشن سے جس کی لیٹنسی سب سے کم ہو۔ آن پریمیسز نیٹ ورک سے مخصوص کنکشن سنبھالنا Direct Connect کا کام ہے، CloudFront کا نہیں۔

Direct Connect ایسی سروس ہے جو معیاری Ethernet فائبر آپٹک کیبل کے ذریعے آن پریمیسز نیٹ ورک کو Direct Connect لوکیشن سے جوڑتی ہے، نیٹ ورک راستے کے ISPs کو بائی پاس کرتی ہے، اور AWS سروسز تک براہِ راست ورچوئل انٹرفیس (仮想インターフェイス) بناتی ہے۔ اہم نکتہ یہ ہے کہ یہ انٹرنیٹ سے نہ گزرنے والا مخصوص کنکشن (専用の接続) ہے، اور یہی وہ جگہ ہے جہاں یہ انٹرنیٹ پر انکرپٹڈ ٹنل بنانے والے طریقے سے مختلف ہے۔

روٹ ٹیبل (ルートテーブル) وہ ٹیبل ہے جو سب نیٹ یا گیٹ وے سے آنے والی ٹریفک کی منزل طے کرتا ہے۔ جس سب نیٹ کے روٹ ٹیبل میں انٹرنیٹ گیٹ وے کی طرف روٹ ہو، اسے روایتی طور پر پبلک سب نیٹ (パブリックサブネット) کہا جاتا ہے، اور جس میں ایسا روٹ نہ ہو اسے پرائیویٹ سب نیٹ (プライベートサブネット) کہا جاتا ہے۔ سب نیٹ ہمیشہ ایک ہی AZ سے تعلق رکھتا ہے، اس لیے AZs کی تعداد سے ان میں فرق نہیں ہوتا۔ جب پرائیویٹ سب نیٹ کا کوئی ریسورس باہر جاتا ہے تو وہ NAT گیٹ وے کے ذریعے جاتا ہے۔

اوریجن (オリジン) وہ جگہ ہے جو CloudFront کے ذریعے پہنچائے جانے والے مواد کا ماخذ رکھتی ہے، جیسے S3 بکٹ یا HTTP سرور۔ جب مطلوبہ مواد ایج لوکیشن پر موجود نہ ہو تو CloudFront اسے اوریجن سے حاصل کر کے پہنچاتا ہے۔ صارف کے قریب ترین لوکیشن سے مواد واپس کرنا ایج لوکیشن کا کام ہے، ایج لوکیشن اور اوریجن کے درمیان درمیانی کیش کی تہہ Regional Edge Cache (リージョナルエッジキャッシュ) ہے، اور نام کی تلاش کے جواب میں منزل کی طرف رہنمائی Route 53 کی DNS روٹنگ ہے۔

Route 53 ایک DNS ویب سروس ہے جس کے تین افعال — ڈومین رجسٹریشن، DNS روٹنگ (DNSルーティング) اور ہیلتھ چیکنگ — ضرورت کے مطابق کسی بھی طرح ملا کر استعمال کیے جا سکتے ہیں۔ یہ ایسا نظام نہیں کہ تینوں کے بغیر کام نہ کرے، اس لیے آپ ڈومین کو کہیں اور رجسٹرڈ رہنے دے کر صرف DNS روٹنگ Route 53 کے سپرد کر سکتے ہیں، یا صرف ہیلتھ چیکنگ استعمال کر سکتے ہیں۔ ڈومین کی منتقلی (移管) اسے استعمال کرنے کی پیشگی شرط نہیں ہے۔

ALB لیئر 7، یعنی ایپلیکیشن لیئر (アプリケーション層) پر کام کرتا ہے اور HTTP، HTTPS اور gRPC سنبھالتا ہے۔ چونکہ یہ اتنی گہرائی تک دیکھتا ہے، یہ HTTP کے مواد کو فیصلوں کی بنیاد بنا سکتا ہے، جس سے کنٹینٹ بیسڈ روٹنگ (コンテンツベースルーティング) جیسی لچکدار روٹنگ ممکن ہوتی ہے۔ NLB لیئر 4 (TCP، UDP، TLS) پر کام کرتا ہے، اور Gateway Load Balancer لیئر 3 اور 4 (IP) پر کام کرتا ہے۔

NLB لیئر 4 کا لوڈ بیلنسر (ロードバランサ) ہے جو TCP، UDP اور TLS سنبھالتا ہے۔ جب آپ کو انتہائی اعلیٰ کارکردگی اور اسٹیٹک IP ایڈریس (静的IPアドレス) درکار ہو تو اسی کا انتخاب کیا جاتا ہے۔ HTTP، HTTPS اور gRPC سنبھالنا لیئر 7 کے ALB کا کام ہے، اور فلوز کو ختم (terminate) کیے بغیر IP ٹریفک کو شفاف طریقے سے گزارنا Gateway Load Balancer کا کام ہے۔ gRPC، NLB کے معاون پروٹوکولز کی فہرست میں شامل نہیں ہے۔

GWLB لیئر 3 اور 4 پر کام کرتا ہے اور IP پروٹوکول سنبھالتا ہے۔ یہ اپلائنس (アプライアンス) پر مبنی سیکیورٹی یا نیٹ ورک افعال کو ٹریفک کے راستے میں رکھنے کا نظام ہے، اور باقی دو سے اس کا فیصلہ کن فرق یہ ہے کہ یہ فلوز کو ختم (終端) کیے بغیر شفاف طریقے سے گزارتا ہے۔ HTTP کا مواد دیکھ کر روٹنگ کرنا لیئر 7 کے ALB کی خوبی ہے، اور UDP کے ساتھ اسٹیٹک IP لیئر 4 کے NLB کی خوبی ہے۔

جب اسٹیٹک IP ایڈریس (静的IPアドレス) درکار ہو تو NLB منتخب کریں۔ NLB لیئر 4 پر کام کرتا ہے اور سرکاری طور پر انتہائی اعلیٰ کارکردگی اور اسٹیٹک IP کی ضرورت والی صورتوں کے لیے موزوں قرار دیا گیا ہے۔ ALB لیئر 7 پر کام کرتا ہے، HTTP، HTTPS اور gRPC سنبھالتا ہے، اور کنٹینٹ بیسڈ روٹنگ اس کی خوبی ہے۔ GWLB اپلائنس کو شفاف طریقے سے درمیان میں رکھنے کے لیے ہے۔ Classic Load Balancer پرانی نسل کا ہے جو TCP، SSL/TLS، HTTP اور HTTPS کو سپورٹ کرتا ہے۔

ELB آنے والی ایپلیکیشن ٹریفک کو ایک یا زیادہ Availability Zones (アベイラビリティゾーン) میں متعدد اہداف (ターゲット) تک خود کار طور پر تقسیم کرتا ہے۔ یہ ایک AZ تک محدود نہیں، اور متعدد AZs میں بٹے ہوئے اہداف تک تقسیم کر سکنا دستیابی کے ڈیزائن (可用性設計) کی بنیاد ہے۔ ڈومین نام کی رجسٹریشن Route 53 کا کام ہے، اور ایج لوکیشنز سے ترسیل CloudFront کا کام ہے۔

ALB جو پروٹوکولز (プロトコル) سنبھالتا ہے وہ HTTP، HTTPS اور gRPC ہیں، اور یہ لیئر 7 پر کام کرتا ہے۔ ان آپشنز میں سے صرف ALB ہی براہِ راست gRPC سنبھال سکتا ہے۔ NLB، TCP، UDP اور TLS سنبھالنے والا لیئر 4 کا لوڈ بیلنسر (ロードバランサ) ہے، اور GWLB، IP سنبھالنے والا لیئر 3/4 کا لوڈ بیلنسر ہے۔ Classic Load Balancer، TCP، SSL/TLS، HTTP اور HTTPS کو سپورٹ کرتا ہے۔

NLB، TCP، UDP اور TLS سنبھالنے والا لیئر 4 کا لوڈ بیلنسر (ロードバランサ) ہے، اس لیے یہ UDP ٹریفک تقسیم کر سکتا ہے۔ ALB جو سنبھالتا ہے وہ HTTP، HTTPS اور gRPC ہیں، جن میں UDP شامل نہیں۔ GWLB، IP سنبھالتا ہے، لیکن یہ ٹریفک کو شفاف طریقے سے اپلائنس (アプライアンス) تک گزارنے کے لیے ہے، عام مقصد کی لوڈ بیلنسنگ (負荷分散) کے لیے نہیں۔ Classic Load Balancer، TCP، SSL/TLS، HTTP اور HTTPS کو سپورٹ کرتا ہے۔

ALB لیئر 7 پر HTTP، HTTPS اور gRPC سنبھالتا ہے؛ NLB لیئر 4 پر TCP، UDP اور TLS سنبھالتا ہے؛ اور GWLB لیئر 3 اور 4 پر IP سنبھالتا ہے۔ یہ ترتیب یاد رکھنے کے لیے یہ سوچنا مفید ہے کہ لیئر (レイヤー) کا نمبر جتنا بڑا ہو، روٹنگ کے فیصلوں کے لیے اتنی ہی اعلیٰ سطح کی معلومات نظر آتی ہیں۔ صرف GWLB دو لیئرز پر پھیلا ہوا ہے، کیونکہ اس کی فطرت IP پیکٹس کو جوں کا توں شفاف طریقے (透過的) سے گزارنا ہے۔

HTTP کے مواد، جیسے پاتھ یا ہوسٹ نیم، کی بنیاد پر روٹنگ کو کنٹینٹ بیسڈ روٹنگ (コンテンツベースルーティング) کہا جاتا ہے، اور یہ لیئر 7 پر کام کرنے والے ALB کی خوبی ہے۔ NLB لیئر 4 پر کام کرتا ہے، اس لیے یہ HTTP کا مواد نہیں دیکھتا۔ GWLB فلوز کو ختم کیے بغیر گزارتا ہے، اس لیے روٹنگ کے فیصلوں کے لیے صرف IP ہی دستیاب ہوتا ہے۔ Classic Load Balancer بھی پرانی نسل کا ڈیزائن ہے؛ اس مقصد کے لیے ALB کا انتخاب کیا جاتا ہے۔

GWLB لیئر 3 اور 4 پر کام کرتا ہے، IP پروٹوکول سنبھالتا ہے، اور اپلائنس (アプライアンス) پر مبنی سیکیورٹی یا نیٹ ورک افعال کے لیے بنایا گیا لوڈ بیلنسر ہے۔ چونکہ یہ فلوز کو ختم (終端) کیے بغیر شفاف طریقے سے گزارتا ہے، درمیان میں جانچ کا اپلائنس رکھنے سے ٹریفک کی ظاہری صورت نہیں بدلتی۔ ALB اور NLB اس لیے بنائے گئے ہیں کہ ٹریفک خود وصول کر کے تقسیم کریں، شفاف طریقے سے گزارنے کے لیے نہیں۔ CloudFront مواد کی ترسیل کی سروس ہے۔

IAM ایسی سروس ہے جو AWS ریسورسز تک رسائی کو محفوظ طریقے سے کنٹرول کرتی ہے، اور اس کا انتظام کرتی ہے کہ کس کی تصدیق (認証) ہوتی ہے (سائن اِن) اور کسے اجازت (認可) ملتی ہے (اختیارات رکھتا ہے)۔ کیز بنانا اور کنٹرول کرنا KMS کا کام ہے، HTTP درخواستوں کی نگرانی اور کنٹرول WAF کا کام ہے، اور تصدیقی معلومات اور API کیز محفوظ کرنا اور روٹیٹ کرنا Secrets Manager کا کام ہے۔ ان کے کردار ایک دوسرے سے نہیں ٹکراتے۔

IAM ایسی سروس ہے جو اس کا انتظام کرتی ہے کہ “کس کی تصدیق ہوتی ہے (سائن اِن) اور کسے اجازت ملتی ہے (اختیارات رکھتا ہے)”۔ تصدیق (認証) وہ مرحلہ ہے جس میں یہ یقینی بنایا جاتا ہے کہ آپ وہی ہیں جو آپ کہتے ہیں، اور اجازت (認可) اس کے بعد کا مرحلہ ہے جو طے کرتا ہے کہ آپ کو کیا کرنے کی اجازت ہے — یہ ترتیب اور کردار دونوں میں مختلف ہیں۔ سائن اِن کر سکنے کے باوجود آپ ایسا آپریشن نہیں کر سکتے جس کی پالیسی (ポリシー) میں اجازت نہ ہو۔ یاد کرتے وقت دونوں کو الٹ دینے سے اختیارات کے ڈیزائن کو غلط سمجھنے کا خطرہ ہوتا ہے۔

KMS ایک منیجڈ سروس ہے جو انکرپشن اور دستخط کے لیے استعمال ہونے والی کیز بنانا اور کنٹرول کرنا آسان بناتی ہے، اور KMS کی (KMS key)، FIPS 140-3 Security Level 3 کے مطابق مصدقہ HSM کے ذریعے محفوظ ہوتی ہے۔ یہ کی (key) کبھی بھی غیر انکرپٹڈ حالت میں KMS سے باہر نہیں جاتی۔ اس لیے اسے سادہ متن (平文) میں ایکسپورٹ یا تقسیم کرنا ممکن نہیں؛ اس کے بجائے انکرپشن اور ڈیکرپشن (復号) کے آپریشنز کی درخواست KMS سے کی جاتی ہے۔

WAF محفوظ کیے گئے ویب ایپلیکیشن ریسورس کی طرف بھیجی جانے والی HTTP اور HTTPS درخواستوں کی نگرانی کرتا ہے اور اجازت (allow)، بلاک، کاؤنٹ (カウント)، اور CAPTCHA یا چیلنج جیسے ایکشنز کے ذریعے رسائی کو کنٹرول کرتا ہے۔ چونکہ کاؤنٹ ایکشن موجود ہے، آپ فوراً بلاک کرنے کے بجائے کسی اصول کو مکمل بلاک بنانے سے پہلے اس کا اثر ناپ سکتے ہیں۔ انکرپشن اور دستخط KMS سے متعلق ہیں، لاگنگ اور بصری پیشکش CloudWatch سے، اور ڈومین رجسٹریشن اور نام ریزولوشن (名前解決) Route 53 سے۔

Shield، DDoS حملوں (DDoS攻撃) سے تحفظ فراہم کرتا ہے۔ Standard بنیادی تحفظ ہے جو AWS WAF جیسی چیزوں کے ساتھ بغیر اضافی لاگت کے خود بخود شامل ہوتا ہے، اور Advanced اضافی فیس پر دستیاب توسیعی تحفظ (拡張保護) ہے۔ Advanced لیئر 7 کے DDoS حملوں کی خود کار روک تھام (自動緩和)، تفصیلی بصیرت، اور Shield Response Team (SRT) کی مخصوص معاونت فراہم کرتا ہے۔ ایسے آپشن سے ہوشیار رہیں جو یہ الٹ دیتا ہے کہ کس پر اضافی لاگت آتی ہے۔

Shield Advanced اضافی فیس کے ساتھ توسیعی تحفظ (拡張保護) ہے، جو لیئر 7 کے DDoS حملوں کی خود کار روک تھام، تفصیلی بصیرت، اور Shield Response Team (SRT) کی مخصوص معاونت (専任のサポート) فراہم کرتا ہے۔ روٹیشن Secrets Manager کا کام ہے، متعدد اکاؤنٹس میں تحفظ کا مرکزی انتظام AWS Firewall Manager کا کام ہے، اور ٹوکن جاری کرنے والی یوزر ڈائریکٹری Amazon Cognito کے یوزر پولز ہیں۔

Secrets Manager ایسی سروس ہے جو سیکریٹس (シークレット) — جیسے ڈیٹا بیس کی تصدیقی معلومات (認証情報)، ایپلیکیشن کی تصدیقی معلومات، OAuth ٹوکنز اور API کیز — کا ان کے پورے لائف سائیکل میں انتظام کرتی ہے، انہیں حاصل کرتی ہے اور روٹیٹ (ローテーション) کرتی ہے۔ سائن اِن اور ٹوکن کا اجرا Cognito کا کام ہے، کنفیگریشن ریکارڈ کرنا اور تعمیل کا جائزہ لینا AWS Config کا کام ہے، اور کیز خود بنانا اور ان کی حفاظت کرنا KMS کا کام ہے۔ Secrets Manager کو اس سروس کے طور پر یاد رکھنا مفید ہے جو قدریں (values) سنبھال کر ساتھ لیے پھرتی ہے۔

یوزر پول (ユーザープール) ایک یوزر ڈائریکٹری ہے جو ایپس اور APIs کے لیے صارفین کی تصدیق کرتی اور انہیں اجازت دیتی ہے، اور ایک آزاد OIDC آئیڈینٹیٹی پرووائیڈر (IdP) کے طور پر کام کر کے OAuth 2.0 ٹوکنز اور JWTs جاری کرتی ہے۔ آئیڈینٹیٹی پول (IDプール) تصدیق شدہ یا غیر تصدیق شدہ صارفین کو AWS ریسورسز تک رسائی دیتا ہے، اور AWS STS کے ذریعے عارضی AWS تصدیقی معلومات (認証情報) جاری کرتا ہے۔ دونوں کو مربوط کرنا کسی کے لیے بھی لازمی نہیں؛ ہر ایک اکیلا بھی استعمال ہو سکتا ہے۔

آئیڈینٹیٹی پول (IDプール) ایسا نظام ہے جو تصدیق شدہ یا غیر تصدیق شدہ صارفین کو AWS ریسورسز تک رسائی دیتا ہے، اور AWS STS کے ذریعے عارضی AWS تصدیقی معلومات (一時的な認証情報) جاری کرتا ہے۔ یوزر پول جو جاری کرتا ہے وہ OAuth 2.0 ٹوکنز اور JWTs ہیں، جو AWS APIs کو براہِ راست کال کرنے کی تصدیقی معلومات نہیں ہیں۔ طویل مدتی تصدیقی معلومات تقسیم کرنا، یا ہر صارف کے لیے IAM یوزر بنانا، اس مقصد کے لیے موزوں نہیں۔

Firewall Manager ایسی سروس ہے جو AWS WAF، Shield Advanced، VPC سیکیورٹی گروپس اور نیٹ ورک ACLs، Network Firewall، اور Route 53 Resolver DNS Firewall جیسے تحفظات کا متعدد اکاؤنٹس اور ریسورسز میں مرکزی انتظام (一元管理) کرتی ہے۔ انفرادی درخواستوں کی جانچ خود WAF کا کام ہے، کیز بنانا KMS کا کام ہے، اور سائن اِن معلومات سنبھالنا Cognito کا کام ہے۔

CloudWatch، AWS ریسورسز اور ان پر چلنے والی ایپلیکیشنز کی ریئل ٹائم نگرانی (監視) کرتا ہے، اور میٹرکس، لاگز، الارمز اور ڈیش بورڈز (メトリクス、ログ、アラーム、ダッシュボード) کے ذریعے کارکردگی، آپریشنل حالت اور ریسورس کے استعمال کو بصری شکل میں دکھاتا ہے۔ کس نے کون سا API آپریشن کیا یہ ریکارڈ کرنا CloudTrail کا کام ہے، کنفیگریشن اور اس کی تبدیلیاں ریکارڈ کرنا AWS Config کا کام ہے، اور ٹیمپلیٹس سے ریسورسز بنانا CloudFormation کا کام ہے۔

CloudTrail صارفین، رولز اور AWS سروسز کے کیے گئے ایکشنز کو ایونٹس (イベント) کے طور پر ریکارڈ کرتا ہے۔ اس میں مینجمنٹ کنسول، CLI، اور SDK یا API کے ذریعے کیے گئے آپریشنز شامل ہیں، جس سے آپ بعد میں پتا لگا سکتے ہیں کہ کس نے کون سا API آپریشن کیا۔ CloudWatch کارکردگی اور حالت کی نگرانی سنبھالتا ہے، CloudFormation ٹیمپلیٹس سے تعمیر سنبھالتا ہے، اور Systems Manager نوڈز پر آپریشنل کام سنبھالتا ہے — ان میں سے کوئی بھی یہ پتا لگانے کے لیے نہیں کہ ایکشن کس نے کیا۔

Config ریسورس کنفیگریشن کا تفصیلی منظر فراہم کرتا ہے، ریسورسز کے باہمی تعلقات اور ماضی میں ان کی کنفیگریشن کیسی تھی یہ ریکارڈ کرتا ہے تاکہ کنفیگریشن کی تبدیلیوں کا سراغ لگایا جا سکے۔ یہ Config rules کے ذریعے کنفیگریشن کا جائزہ بھی لیتا ہے اور ان کی خلاف ورزی کرنے والے ریسورسز کو غیر تعمیل شدہ (非準拠) کے طور پر نشان زد کرتا ہے۔ حدوں (しきい値) کی نگرانی CloudWatch کا کام ہے، ٹیمپلیٹس سے تعمیر CloudFormation کا کام ہے، اور آپریشنز ریکارڈ کرنا CloudTrail کا کام ہے۔

تینوں کو ایک ساتھ یاد کرنا مفید ہے: CloudWatch کارکردگی اور حالت کی ریئل ٹائم نگرانی ہے، CloudTrail اس کا ریکارڈ ہے کہ کس نے کون سا API آپریشن کیا، اور Config ریسورس کنفیگریشن کا ریکارڈ اور تعمیل (準拠性) کا جائزہ ہے۔ یہ ایک دوسرے کی مدمقابل سروسز نہیں — CloudTrail کی ٹریل (トレイル) S3 بکٹ میں محفوظ ہوتی ہے اور اختیاری طور پر CloudWatch Logs کو بھی بھیجی جا سکتی ہے، جس سے CloudTrail بھیجنے والا اور CloudWatch Logs ممکنہ وصول کنندہ بنتا ہے۔

CloudFormation میں آپ ایک ٹیمپلیٹ (テンプレート) بناتے ہیں، یعنی ضروری ریسورسز بیان کرنے والی ٹیکسٹ فائل، اور CloudFormation اسی کے مطابق ریسورسز کی پروویژننگ اور کنفیگریشن کرتا ہے۔ بنائے گئے ریسورسز کو اسٹیک (スタック) کہلانے والی ایک اکائی کے طور پر اکٹھا منظم کیا جا سکتا ہے، اور اکٹھا حذف بھی کیا جا سکتا ہے۔ اس لیے ٹیمپلیٹ نقشے (blueprint) کے مترادف ہے، اور اسٹیک نتیجے میں بننے والے ریسورسز کے گروپ کے مترادف ہے۔

CloudFormation جو ریسورسز کا گروپ بناتا ہے، اسے اسٹیک (スタック) کہلانے والی ایک اکائی کے طور پر منظم کیا جا سکتا ہے، اور ایک ساتھ حذف بھی کیا جا سکتا ہے۔ ایسا نہیں کہ ریسورسز کو صرف انفرادی طور پر سنبھالا جا سکے؛ اسٹیک حذف کرنے سے اس میں شامل ریسورسز بھی ساتھ ہی حذف ہو جاتے ہیں۔ وقت کے ساتھ کنفیگریشن کی تبدیلیاں ریکارڈ کرنا AWS Config کا کردار ہے۔ گروپ کی صورت میں بنانا اور گروپ کی صورت میں ختم کرنا، انفراسٹرکچر کو کوڈ کے طور پر سنبھالنے (インフラをコードとして扱う) کا فائدہ ہے۔

Systems Manager ایک متحد انٹرفیس (統合インターフェイス) ہے جس کے ذریعے AWS، آن پریمیسز اور ملٹی کلاؤڈ ماحول کے نوڈز (ノード) کو بڑے پیمانے پر مرکزی طور پر دیکھا، منظم اور چلایا جاتا ہے، اور اس میں Run Command، Session Manager، Automation، Parameter Store، Patch Manager اور Fleet Manager جیسی صلاحیتیں شامل ہیں۔ کنفیگریشن ریکارڈ کرنا Config کا کام ہے، ٹیمپلیٹس سے تعمیر CloudFormation کا کام ہے، اور ٹریفک تقسیم کرنا ELB کا کام ہے۔

Spot Instances (スポットインスタンス) خریداری کا ایک آپشن ہے جو AWS Cloud کی غیر استعمال شدہ EC2 گنجائش استعمال کرتا ہے، اور بڑی رعایت دیتا ہے لیکن رکاوٹ (中断) کے امکان کے ساتھ۔ یہ ایسی بیچ پروسیسنگ یا ٹیسٹ ماحول کے لیے موزوں ہیں جو رکاوٹ برداشت کر سکیں۔ استعمال کا عہد Savings Plans ہے، انسٹینس خصوصیات کا عہد Reserved Instance (リザーブドインスタンス) ہے، اور بغیر پیشگی ادائیگی یا عہد کے On-Demand (オンデマンド) ہے۔

Savings Plans ایک قیمتوں کا ماڈل (料金モデル) ہے جو استعمال کی ایک مقررہ سطح کے عہد (コミット) کے بدلے رعایت دیتا ہے، جبکہ Reserved Instance ایک قیمتوں کا ماڈل ہے جو انسٹینس ٹائپ، پلیٹ فارم اور ٹیننسی جیسی خصوصیات کے عہد کے بدلے رعایت دیتا ہے۔ دونوں کی مدت 1 سال یا 3 سال ہے، اور ادائیگی مکمل پیشگی، جزوی پیشگی، یا بغیر پیشگی میں سے منتخب کی جا سکتی ہے۔ رکاوٹ Spot Instances میں آ سکتی ہے۔

Compute Savings Plans سب سے زیادہ لچکدار ہیں، جو انسٹینس فیملی (インスタンスファミリー) کی تبدیلی، ریجن کی تبدیلی، EC2، Fargate اور Lambda کے درمیان منتقلی، اور OS کی تبدیلی کو سپورٹ کرتے ہیں۔ EC2 Instance Savings Plans کسی مخصوص ریجن میں کسی مخصوص انسٹینس فیملی کا عہد کرتے ہیں، اس لیے فیملی کے اندر سائز کی تبدیلی اور OS کی تبدیلی ممکن ہے، مگر فیملی یا ریجن کی تبدیلی نہیں۔ دونوں کی مدت 1 سال یا 3 سال ہے، اور ادائیگی مکمل پیشگی، جزوی پیشگی، یا بغیر پیشگی میں سے منتخب کی جا سکتی ہے۔