网络、运维与费用

VPC 是一项可以在逻辑上隔离、由自己定义的虚拟网络中启动AWS资源的服务，能在AWS上构建与自有数据中心传统网络非常相似的架构。从边缘节点分发内容的是 CloudFront，提供域名注册、DNS路由和健康检查的是 Route 53，绕过途中ISP拉出专用连接的是 Direct Connect。

子网是VPC内的IP地址范围，必定属于单一可用区。因此子网不能跨越可用区，如果要分散到多个可用区，就需要按可用区分别创建子网。决定通信去向的是路由表，通往互联网的出入口是互联网网关，两者都是与子网不同的部件。

路由表是决定来自子网或网关的流量去向的表。切分IP地址范围的是子网，提供互联网连接的是互联网网关，代理拥有私有IP的资源对外通信的是NAT网关。这4个部件各自的角色互不重叠。

NAT网关是一种让拥有私有IP地址的资源能够在保持私有的同时访问互联网的机制。由于它只代理由内向外的通信，从外部发起的连接无法成立。互联网网关是让VPC本身连接到互联网的部件，并不放置在子网内部。Direct Connect 是与公司内网之间的专用连接，CloudFront 是内容分发，两者都不用于此用途。

Route 53 是一项在可用性和可扩展性方面表现优异的DNS网络服务，拥有域名注册、DNS路由、健康检查这3项功能，可以任意组合使用。负责内容分发的是 CloudFront，负责入站流量负载分散的是 Elastic Load Balancing，都不是 Route 53 的功能。

CloudFront 是一款能够加速静态及动态Web内容分发的CDN。人们容易以为它只分发静态文件，但官方说明中动态内容也包含在对象之内。分发通过被称为边缘节点的全球性数据中心网络进行，并从延迟最低的节点送达。处理与公司内网之间专用连接的是 Direct Connect，并非 CloudFront 的角色。

Direct Connect 是一项用标准的以太网光纤电缆将公司内网与 Direct Connect 局址相连，绕过网络途中的ISP，直接创建通往AWS服务的虚拟接口的服务。要点在于它是不经过互联网的专用连接，这一点与在互联网上建立加密隧道的方式不同。

路由表是决定来自子网或网关的流量去向的表。拥有指向互联网网关路由的子网，习惯上称为公有子网，没有该路由的则称为私有子网。子网必定属于单一可用区，因此无法凭可用区数量来区分。私有子网中的资源要对外通信时，会经由NAT网关。

源站是持有 CloudFront 所分发内容源头的地方，S3存储桶或HTTP服务器等都属于此类。当边缘节点没有所需内容时，CloudFront 会从源站获取并进行分发。在离用户最近位置返回内容的是边缘节点，位于边缘节点与内容源头之间的中间缓存层是区域边缘缓存，响应名称查询导向分发目标的是 Route 53 的DNS路由。

Route 53 是一项可以任意组合使用域名注册、DNS路由、健康检查这3项功能的DNS网络服务。三者并非必须凑齐才能运作的关系，因此即使域名保留在其他注册商处，也可以只把DNS路由交给它管理，也可以只使用健康检查功能。转移域名并非使用的前提条件。

ALB 运行在第7层，也就是应用层，处理HTTP、HTTPS、gRPC。正因为能看到这一层，才能以HTTP的内容作为判断依据，实现基于内容的灵活分流。运行在第4层的是NLB（TCP、UDP、TLS），运行在第3层和第4层的是Gateway Load Balancer（IP）。

NLB 是第4层的负载均衡器，处理TCP、UDP、TLS。在需要极高性能和静态IP地址的场景下选用。处理HTTP、HTTPS、gRPC的是第7层的ALB，处理IP、不终止流量而是透明穿透的是Gateway Load Balancer。gRPC并不在NLB的支持列表中。

GWLB 运行在第3层和第4层，处理的协议是IP。它是一种用于在通信路径上部署设备型安全功能或网络功能的机制，不终止流量而是透明穿透，这一点与另外两者有决定性的不同。根据HTTP内容进行分流的是第7层的ALB，静态IP和UDP是第4层NLB的特长。

需要静态IP地址时选择NLB。官方将NLB定位为运行在第4层、适合需要极高性能和静态IP场景的负载均衡器。ALB运行在第7层，处理HTTP、HTTPS、gRPC，特长是基于内容的分流。GWLB用于透明地插入设备。Classic Load Balancer是支持TCP、SSL/TLS、HTTP、HTTPS的旧一代产品。

ELB 会自动将收到的应用程序流量分散到位于1个或多个可用区的多个目标。它并不局限于单一可用区，能够分流到分布在多个可用区的目标，这正是可用性设计的基础。域名注册由 Route 53 负责，从边缘节点分发由 CloudFront 负责。

ALB 处理的协议是HTTP、HTTPS、gRPC，运行在第7层。在这几个选项中，能够直接处理gRPC的只有ALB。NLB是处理TCP、UDP、TLS的第4层负载均衡器，GWLB是处理IP、运行在第3层和第4层的负载均衡器。Classic Load Balancer支持的是TCP、SSL/TLS、HTTP、HTTPS。

NLB 是处理TCP、UDP、TLS的第4层负载均衡器，因此可以分散UDP通信。ALB处理的是HTTP、HTTPS、gRPC，不包含UDP。GWLB虽然处理IP，但用途是透明穿透到设备，并非一般的负载分散用途。Classic Load Balancer支持的是TCP、SSL/TLS、HTTP、HTTPS。

ALB在第7层处理HTTP、HTTPS、gRPC，NLB在第4层处理TCP、UDP、TLS，GWLB在第3层和第4层处理IP。可以这样理解记忆：层数越大，能看到的信息层级越高，据此进行分流。GWLB之所以横跨两层，是因为它具有将IP数据包原样透明穿透的性质。

根据路径或主机名等HTTP内容进行的分流称为基于内容的路由，是运行在第7层的ALB的特长。NLB运行在第4层，不会查看到HTTP的内容。GWLB不终止流量而是透明穿透，能用于分流判断的只到IP层。Classic Load Balancer也是旧一代的结构，这种用途下会选择ALB。

GWLB运行在第3层和第4层，是为设备型安全功能或网络功能而准备的负载均衡器。由于不终止流量而是透明穿透，即使在中途插入检测设备，通信的外观也不会改变。ALB和NLB的角色是自己接收流量并进行分流，不是用于透明穿透的用法。CloudFront是内容分发服务。

IAM 是一项安全控制对AWS资源访问的服务，负责管理谁被认证（登录）、谁被授权（拥有权限）。密钥的创建与控制由KMS负责，HTTP请求的监控与控制由WAF负责，凭据和API密钥的保管与轮换分别由 Secrets Manager 负责。各自的角色互不重叠。

IAM 是管理「谁被认证（登录）、谁被授权（拥有权限）」的服务。认证是确认本人身份的阶段，授权是在此基础上决定可以做什么的阶段，两者顺序和角色都不同。即使能够登录，被策略禁止的操作也无法执行。如果把两者互换记忆，就会读错权限设计。

KMS 是一项让创建和控制用于加密及签名的密钥变得容易的托管服务，KMS密钥由通过 FIPS 140-3 安全3级认证的HSM保护。密钥在未加密的状态下不会离开KMS。因此以明文形式导出或分发的用法并不成立，而是以将加密解密操作委托给KMS的方式来使用。

WAF 会监控转发到受保护Web应用资源的HTTP和HTTPS请求，并通过允许、阻止、计数、CAPTCHA或质询等动作来控制访问。由于有计数功能，可以先不直接拦截、评估影响后再落实为正式规则。与加密和签名相关的是KMS，记录和可视化是 CloudWatch，域名注册和名称解析是 Route 53。

Shield 负责抵御DDoS攻击。Standard 是随 AWS WAF 等服务无需额外费用自动包含的基础保护，Advanced 则是需要额外付费的扩展保护。Advanced 提供第7层DDoS的自动缓解、详细的可视化，以及来自 Shield Response Team（SRT）的专属支持。要留意把费用高低说反的选项。

Shield Advanced 是需要额外付费的扩展保护，提供第7层DDoS的自动缓解、详细可视化，以及 Shield Response Team（SRT）的专属支持。轮换功能由 Secrets Manager 负责，跨多账户统一管理保护由 AWS Firewall Manager 负责，用户目录与令牌签发由 Amazon Cognito 的用户池负责。

Secrets Manager 是一项在整个生命周期内管理、获取和轮换数据库凭据、应用程序凭据、OAuth令牌、API密钥等机密信息的服务。登录与令牌签发由 Cognito 负责，配置记录与合规性评估由 AWS Config 负责，密钥本身的创建与保护由 KMS 负责。可以记成：负责在各处传递「值」的是 Secrets Manager。

用户池是面向应用或API对用户进行认证和授权的用户目录，作为独立的OIDC身份提供方发挥作用，签发OAuth 2.0令牌或JWT。身份池则是为已认证或未认证的用户授予访问AWS资源的权限，通过 AWS STS 签发临时AWS凭据。两者的整合并非彼此的必要条件，单独使用其中一个也可以。

身份池是为已认证或未认证的用户授予访问AWS资源权限的机制，通过 AWS STS 签发临时AWS凭据。用户池签发的是OAuth 2.0令牌或JWT，这并不是可以直接调用AWS API的凭据。分发长期凭据、或为每个用户创建IAM用户的设计，都不适合这种用途。

Firewall Manager 是一项跨多账户、多资源统一管理 AWS WAF、Shield Advanced、VPC 的安全组和网络ACL、Network Firewall、Route 53 Resolver DNS Firewall 等保护措施的服务。逐一检查请求的是WAF本身，密钥的创建是KMS，处理登录信息的是 Cognito。

CloudWatch 会实时监控AWS资源及其上运行的应用程序，通过指标、日志、告警、仪表盘将性能、运行状态、资源使用率可视化。记录谁执行了哪个API操作的是 CloudTrail，记录配置及其变化的是 AWS Config，从模板构建资源的是 CloudFormation。

CloudTrail 会将用户、角色、AWS服务所采取的操作作为事件记录下来。对象包括通过管理控制台、CLI、SDK或API的操作，可以事后追溯谁执行了什么API操作。CloudWatch负责性能与状态的监控，CloudFormation负责从模板进行构建，Systems Manager负责节点的运维操作，都不是用于追溯操作主体的用途。

Config 提供AWS资源配置的详细视图，记录资源之间的关系以及过去的配置状态，使配置变化可被追溯。此外还能通过 Config 规则评估配置，将违反规则的资源标记为不合规。阈值监控由 CloudWatch 负责，从模板进行构建由 CloudFormation 负责，操作记录是 CloudTrail 的角色。

这3项可以放在一起记忆：CloudWatch 负责性能与状态的实时监控，CloudTrail 负责记录谁执行了哪个API操作，Config 负责记录资源配置并评估合规性。它们并非相互竞争的服务，CloudTrail的跟踪记录会保存到S3存储桶，也可以选择性地投递到 CloudWatch Logs。可以理解为CloudTrail是发送方，CloudWatch Logs是接收方的关系。

在 CloudFormation 中，创建一份记述所需资源的文本文件——模板后，CloudFormation 就会按照该模板对资源进行资源准备和配置。创建出的资源群可以作为堆栈这一个单位统一管理，也能统一删除。可以理解为模板是设计图，堆栈是建成后的整体成果。

CloudFormation 所创建的资源群可以作为堆栈这一个单位进行管理，也能统一删除。并非只能逐个处理，删除堆栈时，其中包含的资源也会一并被删除。按时间顺序记录配置变化是 AWS Config 的角色。能够统一创建、统一删除，正是将基础设施当作代码来处理的好处。

Systems Manager 是一个统一的界面，用于对AWS、本地环境、多云环境中的节点进行大规模的统一查看、管理和运维，其中包括 Run Command、Session Manager、Automation、Parameter Store、Patch Manager、Fleet Manager 等功能。配置记录是 Config，从模板构建是 CloudFormation，流量分散是 ELB 的职责。

竞价实例是一种使用AWS云中未使用的EC2容量的购买方式，在获得大幅折扣的同时也可能会被中断。适合能够容忍中断的批处理或测试环境。承诺使用量的是 Savings Plans，承诺实例属性的是预留实例，无需预付款也无需承诺的是按需实例。

Savings Plans 是以承诺一定使用量为交换条件获得折扣的计费模式，预留实例是以承诺实例类型、平台、租赁方式等属性为交换条件获得折扣的计费模式。两者的期限都是1年或3年，付款方式都可以从全额预付、部分预付、不预付中选择。会被中断的是竞价实例。

Compute Savings Plans 最为灵活，支持变更实例系列、变更区域、在 EC2、Fargate、Lambda 之间迁移，以及变更操作系统。EC2 Instance Savings Plans 由于承诺的是特定区域内特定的实例系列，虽然可以在该系列内变更规格或操作系统，但不能变更系列和区域。两者的期限都是1年或3年，付款方式都可以从全额预付、部分预付、不预付中选择。