Mạng, vận hành và chi phí

VPC là dịch vụ cho phép khởi động tài nguyên AWS bên trong mạng ảo do chính mình định nghĩa, được cách ly về mặt logic, giúp xây dựng trên AWS một cấu trúc rất giống với mạng truyền thống của trung tâm dữ liệu công ty mình. Phân phối nội dung từ edge location là CloudFront; cung cấp đăng ký domain, định tuyến DNS, kiểm tra tình trạng là Route 53; kéo kết nối chuyên dụng bỏ qua ISP trên đường truyền là Direct Connect.

Subnet là dải địa chỉ IP bên trong VPC, luôn thuộc về đúng một vùng khả dụng duy nhất. Do đó subnet không thể trải qua nhiều AZ, và nếu muốn phân tán trên nhiều AZ thì cần tạo subnet riêng cho từng AZ. Quyết định hướng đi của thông tin liên lạc là bảng định tuyến (route table), cửa ngõ ra Internet là internet gateway — cả hai đều là bộ phận khác với subnet.

Bảng định tuyến là bảng quyết định hướng đi của lưu lượng từ subnet hoặc gateway. Cắt ra dải địa chỉ IP là subnet, cung cấp kết nối tới Internet là internet gateway, đại diện trung chuyển cho thông tin liên lạc hướng ra ngoài của tài nguyên có IP riêng tư là NAT gateway. 4 bộ phận này không trùng vai trò với nhau.

NAT gateway là cơ chế cho phép tài nguyên có địa chỉ IP riêng tư truy cập Internet trong khi vẫn giữ nguyên là riêng tư. Vì chỉ đại diện trung chuyển cho thông tin liên lạc từ trong ra ngoài, nên kết nối từ ngoài vào trong không thành lập được. Internet gateway kết nối chính VPC với Internet, không phải bộ phận đặt bên trong subnet. Direct Connect là kết nối chuyên dụng với mạng nội bộ công ty, CloudFront là phân phối nội dung — cả hai đều không dùng cho mục đích này.

Route 53 là dịch vụ Web DNS vượt trội về tính khả dụng và khả năng mở rộng, có 3 chức năng là đăng ký domain, định tuyến DNS, kiểm tra tình trạng, và có thể tự do kết hợp sử dụng các chức năng này. Phân phối nội dung là vai trò của CloudFront, cân bằng tải lưu lượng đến là vai trò của Elastic Load Balancing — không phải chức năng của Route 53.

CloudFront là CDN giúp tăng tốc việc phân phối nội dung Web tĩnh và động. Nhiều người nghĩ đây chỉ là cơ chế phân phối tệp tin tĩnh, nhưng theo mô tả chính thức thì nội dung động cũng nằm trong phạm vi đối tượng. Việc phân phối được thực hiện qua mạng lưới trung tâm dữ liệu quy mô toàn cầu gọi là edge location, và được chuyển tới từ vị trí có độ trễ thấp nhất. Xử lý thông tin liên lạc qua kết nối chuyên dụng với mạng nội bộ công ty là Direct Connect, không phải vai trò của CloudFront.

Direct Connect là dịch vụ kết nối mạng nội bộ công ty với vị trí Direct Connect bằng cáp quang Ethernet tiêu chuẩn, bỏ qua ISP trên đường truyền mạng, và tạo trực tiếp giao diện ảo tới các dịch vụ AWS. Điểm mấu chốt là đây là kết nối chuyên dụng không đi qua Internet, đây chính là điểm khác biệt so với phương thức kéo đường hầm được mã hóa trên Internet.

Bảng định tuyến là bảng quyết định hướng đi của lưu lượng từ subnet hoặc gateway. Theo thông lệ, subnet có tuyến hướng tới internet gateway được gọi là public subnet, còn subnet không có tuyến đó được gọi là private subnet. Subnet luôn thuộc về đúng một AZ duy nhất, nên không thể phân biệt bằng số lượng AZ. Khi tài nguyên trong private subnet đi ra ngoài, sẽ đi qua NAT gateway.

Origin là nơi giữ nguồn gốc của nội dung mà CloudFront phân phối, tương ứng với bucket S3 hoặc máy chủ HTTP. Khi edge location không có nội dung mong muốn, CloudFront sẽ lấy từ origin để phân phối. Điểm trả về nội dung từ nơi gần người dùng nhất là edge location; lớp cache trung gian giữa edge location và nguồn gốc nội dung là regional edge cache; cơ chế DNS dẫn tới đích phân phối dựa trên truy vấn tên là định tuyến DNS của Route 53.

Route 53 là dịch vụ Web DNS có thể tự do kết hợp sử dụng 3 chức năng là đăng ký domain, định tuyến DNS, kiểm tra tình trạng. Đây không phải mối quan hệ chỉ hoạt động khi có đủ cả 3, nên vẫn có thể giữ domain đã đăng ký ở công ty khác mà chỉ giao riêng phần định tuyến DNS, hoặc chỉ dùng riêng phần kiểm tra tình trạng. Việc chuyển domain không phải điều kiện tiên quyết để sử dụng.

ALB hoạt động ở lớp 7, tức lớp ứng dụng, xử lý HTTP, HTTPS, gRPC. Vì nhìn được tới tận đây nên có thể dùng nội dung của HTTP làm căn cứ phán đoán, thực hiện được cách phân chia linh hoạt như định tuyến dựa trên nội dung (content-based routing). Hoạt động ở lớp 4 là NLB (TCP, UDP, TLS), hoạt động ở lớp 3 và 4 là Gateway Load Balancer (IP).

NLB là bộ cân bằng tải lớp 4, xử lý TCP, UDP, TLS. Đây là lựa chọn khi cần hiệu năng cực cao và địa chỉ IP tĩnh. Xử lý HTTP, HTTPS, gRPC là ALB ở lớp 7, còn xử lý IP và cho đi xuyên qua một cách trong suốt mà không kết thúc luồng (flow) là Gateway Load Balancer. gRPC không có trong bảng giao thức mà NLB hỗ trợ.

GWLB hoạt động ở lớp 3 và 4, giao thức xử lý là IP. Đây là cơ chế để đặt các chức năng bảo mật hoặc mạng dạng thiết bị (appliance) trên đường truyền, và điểm khác biệt quyết định so với hai loại còn lại là cho đi xuyên qua một cách trong suốt mà không kết thúc luồng. Xem nội dung HTTP để phân chia là ALB ở lớp 7, IP tĩnh và UDP là thế mạnh của NLB ở lớp 4.

Trường hợp cần địa chỉ IP tĩnh thì chọn NLB. NLB hoạt động ở lớp 4, và được định vị chính thức là phù hợp cho các trường hợp cần hiệu năng cực cao và IP tĩnh. ALB ở lớp 7, xử lý HTTP, HTTPS, gRPC, thế mạnh là phân chia dựa trên nội dung. GWLB dùng để chèn thiết bị (appliance) một cách trong suốt. Classic Load Balancer là thế hệ cũ hỗ trợ TCP, SSL/TLS, HTTP, HTTPS.

ELB tự động phân tán lưu lượng ứng dụng đến tới nhiều đích nằm trong một hoặc nhiều vùng khả dụng. Đây không phải cơ chế khép kín trong một AZ duy nhất, mà việc có thể phân chia tới các đích được chia ra nhiều AZ chính là nền tảng của thiết kế tính khả dụng cao. Đăng ký tên domain là vai trò của Route 53, phân phối từ edge location là vai trò của CloudFront.

Giao thức mà ALB xử lý là HTTP, HTTPS, gRPC, và nó hoạt động ở lớp 7. Trong số này, chỉ có ALB là có thể trực tiếp xử lý gRPC. NLB là bộ cân bằng tải lớp 4 xử lý TCP, UDP, TLS; GWLB là bộ cân bằng tải lớp 3 và 4 xử lý IP. Classic Load Balancer hỗ trợ TCP, SSL/TLS, HTTP, HTTPS.

NLB là bộ cân bằng tải lớp 4 xử lý TCP, UDP, TLS, nên có thể phân tán thông tin liên lạc UDP. ALB xử lý HTTP, HTTPS, gRPC, không bao gồm UDP. GWLB xử lý IP nhưng dùng để cho đi xuyên qua thiết bị (appliance) một cách trong suốt, không phải mục đích cân bằng tải thông thường. Classic Load Balancer hỗ trợ TCP, SSL/TLS, HTTP, HTTPS.

ALB xử lý HTTP, HTTPS, gRPC ở lớp 7; NLB xử lý TCP, UDP, TLS ở lớp 4; GWLB xử lý IP ở lớp 3 và 4. Nếu nghĩ rằng số càng lớn thì càng nhìn được tới thông tin ở tầng cao hơn để phân chia, thì thứ tự sẽ dễ ghi nhớ hơn. Chỉ riêng GWLB trải qua 2 lớp là do tính chất cho gói tin IP đi xuyên qua nguyên trạng một cách trong suốt.

Việc phân chia dựa trên nội dung HTTP như đường dẫn hay tên host được gọi là định tuyến dựa trên nội dung (content-based routing), và đây là thế mạnh của ALB hoạt động ở lớp 7. NLB ở lớp 4 nên không nhìn được tới nội dung HTTP. GWLB cho luồng đi qua trong suốt mà không kết thúc, nên chỉ có thể dùng thông tin tới mức IP để phán đoán phân chia. Classic Load Balancer cũng là cấu tạo thế hệ cũ, nên với mục đích này nên chọn ALB.

GWLB hoạt động ở lớp 3 và 4, là bộ cân bằng tải được chuẩn bị cho các chức năng bảo mật hoặc mạng dạng thiết bị (appliance). Vì cho luồng đi xuyên qua một cách trong suốt mà không kết thúc, nên dù có chèn thiết bị kiểm tra ở giữa, cách nhìn của thông tin liên lạc vẫn không thay đổi. ALB và NLB có vai trò tự mình nhận lưu lượng rồi phân tán, không dùng theo cách cho đi xuyên qua trong suốt. CloudFront là dịch vụ phân phối nội dung.

IAM là dịch vụ kiểm soát an toàn việc truy cập tài nguyên AWS, quản lý ai được xác thực (đăng nhập) và ai được cấp quyền (có quyền hạn). Việc tạo và kiểm soát khóa là KMS, việc giám sát và kiểm soát yêu cầu HTTP là WAF, việc lưu trữ và xoay vòng thông tin xác thực hay khóa API là Secrets Manager đảm nhận riêng. Các vai trò không trùng nhau.

IAM là dịch vụ quản lý "ai được xác thực (đăng nhập) và ai được cấp quyền (có quyền hạn)". Xác thực là bước xác nhận đúng là chính người đó, cấp quyền là bước quyết định sau đó được phép làm gì; cả thứ tự lẫn vai trò đều khác nhau. Dù đăng nhập được, nhưng thao tác không được chính sách cho phép thì vẫn không thể thực thi. Nếu ghi nhớ nhầm hai khái niệm này đổi chỗ cho nhau, sẽ dễ đọc sai khi thiết kế quyền hạn.

KMS là dịch vụ được quản lý giúp dễ dàng tạo và kiểm soát khóa dùng để mã hóa hoặc ký, và khóa KMS được bảo vệ bởi HSM đã qua chứng nhận FIPS 140-3 mức bảo mật 3. Khóa không bao giờ rời khỏi KMS ở trạng thái chưa được mã hóa. Do đó cách dùng lấy ra hoặc phân phát dưới dạng văn bản thuần là không thể thực hiện, mà phải sử dụng theo hình thức yêu cầu KMS thực hiện thao tác mã hóa hoặc giải mã.

WAF giám sát các yêu cầu HTTP và HTTPS được chuyển tới tài nguyên ứng dụng Web cần bảo vệ, và kiểm soát truy cập bằng các hành động như cho phép, chặn, đếm, CAPTCHA hoặc thử thách (challenge). Vì có chức năng đếm nên có thể đo lường ảnh hưởng trước khi áp dụng chặn ngay lập tức, rồi mới đưa vào quy tắc chính thức. Việc mã hóa và ký thuộc về KMS, ghi lại và trực quan hóa là CloudWatch, đăng ký domain và phân giải tên là Route 53.

Shield đảm nhận việc bảo vệ khỏi tấn công DDoS. Standard là bảo vệ cơ bản được bao gồm tự động miễn phí trong AWS WAF và các dịch vụ khác, còn Advanced là bảo vệ mở rộng có phí. Với Advanced, có thể nhận được việc giảm nhẹ tự động DDoS ở lớp 7, trực quan hóa chi tiết, và hỗ trợ chuyên trách từ Shield Response Team (SRT). Cần chú ý các phương án đảo ngược cách tính phí.

Shield Advanced là bảo vệ mở rộng có phí, cung cấp việc giảm nhẹ tự động DDoS ở lớp 7, trực quan hóa chi tiết, hỗ trợ chuyên trách từ Shield Response Team (SRT). Việc xoay vòng là Secrets Manager, quản lý gộp bảo vệ trên nhiều tài khoản là AWS Firewall Manager, thư mục người dùng và phát hành token là user pool của Amazon Cognito đảm nhận.

Secrets Manager là dịch vụ quản lý, lấy ra, xoay vòng các bí mật như thông tin xác thực cơ sở dữ liệu, thông tin xác thực ứng dụng, token OAuth, khóa API trong suốt vòng đời của chúng. Đăng nhập và phát hành token là Cognito, ghi lại cấu hình và đánh giá tuân thủ là AWS Config, tự tạo và bảo vệ chính khóa là KMS đảm nhận. Có thể ghi nhớ Secrets Manager là nơi luân chuyển các giá trị.

User pool là thư mục người dùng dùng để xác thực và cấp quyền cho người dùng đối với ứng dụng hoặc API, hoạt động như một IdP OIDC độc lập, phát hành token OAuth 2.0 hoặc JWT. Identity pool là cơ chế cấp quyền truy cập tài nguyên AWS cho người dùng đã xác thực hoặc chưa xác thực, phát hành thông tin xác thực AWS tạm thời thông qua AWS STS. Việc tích hợp hai bên không phải là bắt buộc lẫn nhau, có thể dùng riêng một bên.

Identity pool là cơ chế cấp quyền truy cập tài nguyên AWS cho người dùng đã xác thực hoặc chưa xác thực, phát hành thông tin xác thực AWS tạm thời thông qua AWS STS. Những gì user pool phát hành là token OAuth 2.0 hoặc JWT, đây không phải thông tin xác thực để gọi trực tiếp API của AWS. Việc phân phát thông tin xác thực dài hạn, hay tạo user IAM cho từng người dùng, đều không phù hợp với mục đích này.

Firewall Manager là dịch vụ quản lý gộp các biện pháp bảo vệ như AWS WAF, Shield Advanced, security group và network ACL của VPC, Network Firewall, Route 53 Resolver DNS Firewall, trên nhiều tài khoản và nhiều tài nguyên. Việc kiểm tra từng yêu cầu riêng lẻ là chính WAF, tạo khóa là KMS, xử lý thông tin đăng nhập là Cognito.

CloudWatch giám sát theo thời gian thực tài nguyên AWS và các ứng dụng chạy trên đó, trực quan hóa hiệu năng, trạng thái vận hành, tỷ lệ sử dụng tài nguyên thông qua metric, log, alarm, dashboard. Ghi lại ai đã thực hiện thao tác API nào là CloudTrail, ghi lại cấu hình và sự thay đổi của nó là AWS Config, xây dựng tài nguyên từ template là CloudFormation.

CloudTrail ghi lại dưới dạng sự kiện các hành động mà người dùng, vai trò (role), dịch vụ AWS đã thực hiện. Đối tượng bao gồm các thao tác qua bảng điều khiển quản lý, CLI, SDK hoặc API, nên có thể truy ngược lại sau này xem ai đã thực hiện thao tác API nào. CloudWatch giám sát hiệu năng và trạng thái, CloudFormation đảm nhận xây dựng từ template, Systems Manager đảm nhận các thao tác vận hành trên node — không cái nào phù hợp với mục đích truy tìm chủ thể thao tác.

Config cung cấp góc nhìn chi tiết về cấu hình của tài nguyên AWS, ghi lại mối quan hệ giữa các tài nguyên và cấu hình trong quá khứ, cho phép theo dõi sự thay đổi cấu hình. Hơn nữa, có thể đánh giá cấu hình bằng Config rule và gắn cờ các tài nguyên vi phạm là không tuân thủ (non-compliant). Giám sát ngưỡng là CloudWatch, xây dựng từ template là CloudFormation, ghi lại thao tác là vai trò của CloudTrail.

Ba dịch vụ này nên ghi nhớ cùng nhau. CloudWatch là giám sát theo thời gian thực hiệu năng và trạng thái, CloudTrail là ghi lại ai đã thực hiện thao tác API nào, Config là ghi lại cấu hình tài nguyên và đánh giá mức độ tuân thủ. Đây không phải các dịch vụ cạnh tranh nhau; trail của CloudTrail được lưu vào bucket S3, và tùy chọn có thể gửi thêm tới CloudWatch Logs. Mối quan hệ là CloudTrail bên gửi, CloudWatch Logs bên nhận.

Trong CloudFormation, khi tạo template — một tệp văn bản mô tả các tài nguyên cần thiết — CloudFormation sẽ cấp phát và cấu hình tài nguyên đúng theo đó. Nhóm tài nguyên đã được tạo ra có thể quản lý gộp dưới một đơn vị gọi là stack, và cũng có thể xóa gộp. Mối tương ứng là template là bản thiết kế, stack là một nhóm những gì đã hoàn thành.

Nhóm tài nguyên do CloudFormation tạo ra có thể được quản lý như một đơn vị duy nhất gọi là stack, và cũng có thể xóa gộp. Đây không phải cơ chế chỉ xử lý được từng cái riêng lẻ; khi xóa stack, các tài nguyên nằm trong đó cũng sẽ được xóa gộp theo. Ghi lại sự thay đổi cấu hình theo trình tự thời gian là vai trò của AWS Config. Việc có thể tạo gộp và xóa gộp chính là lợi ích của việc xử lý hạ tầng như mã (code).

Systems Manager là giao diện tích hợp để hiển thị, quản lý, vận hành gộp quy mô lớn các node trong môi trường AWS, on-premise, đa đám mây, bao gồm Run Command, Session Manager, Automation, Parameter Store, Patch Manager, Fleet Manager. Ghi lại cấu hình là Config, xây dựng từ template là CloudFormation, phân tán lưu lượng là ELB.

Spot instance là một tùy chọn mua sử dụng năng lực EC2 chưa dùng đến của đám mây AWS, có mức chiết khấu lớn nhưng đổi lại có thể bị gián đoạn. Phù hợp với xử lý theo lô (batch) hay môi trường thử nghiệm có thể chấp nhận việc bị gián đoạn. Cam kết mức sử dụng là Savings Plans, cam kết thuộc tính instance là reserved instance, không trả trước cũng không cam kết là on-demand.

Savings Plans là mô hình tính phí nhận chiết khấu để đổi lấy việc cam kết một mức sử dụng nhất định, còn reserved instance là mô hình tính phí nhận chiết khấu để đổi lấy việc cam kết các thuộc tính như loại instance, nền tảng, hình thức thuê (tenancy). Cả hai đều có thời hạn 1 năm hoặc 3 năm, và có thể chọn cách trả tiền là trả trước toàn bộ, trả trước một phần, hoặc không trả trước. Loại có thể bị gián đoạn là spot instance.

Compute Savings Plans linh hoạt nhất, hỗ trợ việc thay đổi họ instance, thay đổi vùng (region), chuyển đổi giữa EC2, Fargate và Lambda, thay đổi hệ điều hành. EC2 Instance Savings Plans cam kết vào một họ instance cụ thể tại một vùng cụ thể, nên tuy có thể thay đổi kích thước trong cùng họ hoặc đổi hệ điều hành, nhưng không thể thay đổi họ và vùng. Thời hạn của cả hai đều là 1 năm hoặc 3 năm, cách trả tiền chọn giữa trả trước toàn bộ, trả trước một phần, hoặc không trả trước.