網路、維運與費用

VPC 是一項服務，能在自行定義、邏輯上獨立的虛擬網路中啟動AWS資源，可在AWS上建構出非常類似自家資料中心傳統網路的架構。從邊緣節點發送內容的是 CloudFront，提供網域註冊、DNS路由與健康檢查的是 Route 53，繞過路徑上ISP、拉出專用連線的則是 Direct Connect。

子網路是VPC內的IP位址範圍，必定屬於單一的可用區域。因此子網路無法跨越AZ，若想分散到多個AZ，就要為每個AZ各自建立子網路。決定通訊去向的是路由表，通往網際網路的出入口是網際網路閘道，兩者都是與子網路不同的元件。

路由表是一份決定來自子網路或閘道的流量要往何處去的表格。切割IP位址範圍的是子網路，提供連接網際網路的是網際網路閘道，代理具有私有IP之資源對外通訊的則是NAT閘道。這4個元件各自的角色並不重疊。

NAT閘道是一種讓具有私有IP位址的資源，能在維持私有狀態下存取網際網路的機制。由於它只代理由內向外的通訊，因此無法建立由外向內的連線。網際網路閘道是把VPC本身連接到網際網路，並非放在子網路裡的元件。Direct Connect 是與公司內部網路的專用連線，CloudFront 是內容發送，兩者都不用於這個用途。

Route 53 是一項高可用且可擴展的DNS網頁服務，具備網域註冊、DNS路由、健康檢查這3項功能，且可任意組合使用。負責內容配送的是 CloudFront，負責分散接收流量的是 Elastic Load Balancing，都不是 Route 53 的功能。

CloudFront 是一種能加速靜態與動態Web內容配送的CDN。雖然常被誤以為只配送靜態檔案，但官方說明中動態內容也包含在對象之內。配送是透過稱為邊緣節點的全球規模資料中心網路進行，由延遲最低的節點送出。負責公司內部網路專用連線的是 Direct Connect，並非CloudFront的角色。

Direct Connect 是一項服務，以標準的乙太網路光纖電纜連接公司內部網路與 Direct Connect 據點，繞過網路路徑上的ISP，直接為AWS服務建立虛擬介面。重點在於它是不經過網際網路的專用連線，這一點與在網際網路上建立加密通道的方式不同。

路由表是決定來自子網路或閘道之流量去向的表格。慣例上，擁有通往網際網路閘道路徑的子網路稱為公有子網路，沒有的則稱為私有子網路。子網路必定只屬於單一AZ，因此無法用AZ的數量來區分。私有子網路的資源要對外時，會經由NAT閘道。

來源伺服器是持有CloudFront所配送內容原始版本的地方，S3儲存貯體或HTTP伺服器都屬於此類。當邊緣節點沒有所需內容時，CloudFront會從來源伺服器取得後配送。在離使用者最近之處回傳內容的是邊緣節點，位於邊緣節點與內容原始版本之間的中間快取層是區域邊緣快取，依名稱查詢導向配送目的地的則是 Route 53 的DNS路由。

Route 53 是一項DNS網頁服務，可任意組合使用網域註冊、DNS路由、健康檢查這3項功能。三者並非必須齊備才能運作的關係，因此即使網域在其他業者取得，也能只交由它負責DNS路由，或只使用健康檢查。移轉並不是使用的前提條件。

ALB運作於第7層，也就是應用層，處理HTTP、HTTPS、gRPC。正因為看到這一層，才能以HTTP的內容作為判斷依據，實現內容導向路由這類靈活的分配。運作於第4層的是NLB（TCP、UDP、TLS），運作於第3層與第4層的則是Gateway Load Balancer（IP）。

NLB是第4層的負載平衡器，處理TCP、UDP、TLS。適用於需要極高效能與靜態IP位址的情境。處理HTTP、HTTPS、gRPC的是第7層的ALB，處理IP、不終止流量而以透通方式通過的是Gateway Load Balancer。gRPC並未列在NLB的支援對照表中。

GWLB運作於第3層與第4層，處理的協定是IP。這是用於在通訊路徑上放置設備型安全或網路功能的機制，不終止流量、以透通方式通過，這一點與另外兩者有決定性的差異。依HTTP內容分配的是第7層的ALB，靜態IP與UDP則是第4層NLB的特色。

需要靜態IP位址時應選用NLB。官方定位NLB運作於第4層，適合需要極高效能與靜態IP的場景。ALB運作於第7層，處理HTTP、HTTPS、gRPC，特色是能依內容分配。GWLB則用於透通地夾入設備。Classic Load Balancer 是支援TCP、SSL/TLS、HTTP、HTTPS的舊世代負載平衡器。

ELB 會自動將接收到的應用程式流量，分散到1個以上可用區域中的多個目標。它並不侷限於單一AZ，能分配給分散在多個AZ的目標，這正是可用性設計的基礎。網域名稱的註冊是 Route 53，從邊緣節點配送則是 CloudFront 的角色。

ALB處理的協定是HTTP、HTTPS、gRPC，運作於第7層。在這幾項之中，能直接處理gRPC的只有ALB。NLB是處理TCP、UDP、TLS的第4層，GWLB則是處理IP的第3層與第4層負載平衡器。Classic Load Balancer 支援的是TCP、SSL/TLS、HTTP、HTTPS。

NLB是處理TCP、UDP、TLS的第4層負載平衡器，因此能分散UDP的通訊。ALB處理的是HTTP、HTTPS、gRPC，不包含UDP。GWLB雖能處理IP，但用途是透通地通往設備，並非一般的負載分散用途。Classic Load Balancer 支援的是TCP、SSL/TLS、HTTP、HTTPS。

ALB在第7層處理HTTP、HTTPS、gRPC，NLB在第4層處理TCP、UDP、TLS，GWLB在第3層與第4層處理IP。可以這樣記：層級號碼越大，能看到的資訊層級越高，用以分配的判斷依據就越多。只有GWLB橫跨2個層級，是因為它具有將IP封包原樣透通通過的特性。

依路徑或主機名稱等HTTP內容進行的分配稱為內容導向路由，是運作於第7層之ALB的特色。NLB是第4層，看不到HTTP的內容。GWLB不終止流量、以透通方式通過，能用於分配判斷的只到IP為止。Classic Load Balancer 也是舊世代的設計，這種用途應選用ALB。

GWLB運作於第3層與第4層，是為了設備型安全功能或網路功能而準備的負載平衡器。由於不終止流量、以透通方式通過，即使在途中夾入檢測裝置，通訊的樣貌也不會改變。ALB與NLB的角色是自行接收流量並分散，並不是用於透通通過的方式。CloudFront 則是內容配送的服務。

IAM 是一項安全控制對AWS資源存取的服務，管理誰經過驗證（登入），以及誰獲得授權（擁有權限）。金鑰的建立與控制是KMS，HTTP請求的監控與控制是WAF，認證資訊或API金鑰的保管與輪替則由 Secrets Manager 分別負責。角色互不重疊。

IAM 是一項管理「誰經過驗證（登入）、誰獲得授權（擁有權限）」的服務。驗證是確認本人身分的階段，授權則是在此之後決定可以做什麼的階段，順序與角色都不同。即使能登入，若政策未允許該操作，仍無法執行。若把這兩者互換記憶，就會誤讀權限的設計。

KMS 是一項受管理服務，能輕鬆建立與控制用於加密或簽章的金鑰，KMS金鑰由通過 FIPS 140-3 安全等級3認證的HSM保護。金鑰不會以未加密的狀態離開KMS。因此以明文取出或發布的用法並不成立，而是以委託KMS執行加密或解密操作的方式使用。

WAF 會監控轉送到受保護Web應用程式資源的HTTP及HTTPS請求，並以允許、封鎖、計數、CAPTCHA或挑戰等動作來控制存取。有計數這個動作，就能先不直接封鎖、觀察影響後再套用到正式規則。與加密或簽章相關的是KMS，記錄與可視化是 CloudWatch，網域註冊與名稱解析則是 Route 53。

Shield 負責保護抵禦DDoS攻擊。Standard 是無需額外費用即自動包含在 AWS WAF 等服務中的基本保護，Advanced 則是需額外付費的擴充保護。使用Advanced可獲得第7層DDoS的自動緩解、詳細的可視化，以及Shield Response Team（SRT）的專屬支援。要注意費用歸屬顛倒的選項。

Shield Advanced 是需額外付費的擴充保護，提供第7層DDoS的自動緩解、詳細可視化，以及Shield Response Team（SRT）的專屬支援。輪替是 Secrets Manager，跨多帳戶集中管理保護是 AWS Firewall Manager，使用者目錄與權杖發行則由 Amazon Cognito 的使用者集區負責。

Secrets Manager 是一項服務，會在整個生命週期中管理、取得並輪替資料庫認證資訊、應用程式認證資訊、OAuth權杖、API金鑰等機密資訊。登入與權杖發行是 Cognito，組態記錄與合規性評估是 AWS Config，金鑰本身的建立與保護則由 KMS 負責。可以記成 Secrets Manager 負責在各處傳遞值。

使用者集區是為應用程式或API驗證與授權使用者的使用者目錄，作為獨立的OIDC IdP發揮功能，發行OAuth 2.0權杖或JWT。身分集區則是為已驗證或未驗證的使用者授予對AWS資源的存取權，透過 AWS STS 發行臨時AWS認證資訊。兩者的整合並非彼此必須，單獨使用其中一方也可以。

身分集區是一種為已驗證或未驗證的使用者授予AWS資源存取權的機制，透過 AWS STS 發行臨時AWS認證資訊。使用者集區發行的是OAuth 2.0權杖或JWT，這並不是能直接呼叫AWS API的認證資訊。發放長期認證資訊，或為每位使用者各自建立IAM使用者的設計，都不適合這個用途。

Firewall Manager 是一項服務，能跨多個帳戶、多項資源，集中管理 AWS WAF、Shield Advanced、VPC的安全群組與網路ACL、Network Firewall、Route 53 Resolver DNS Firewall 等保護措施。檢查個別請求的是WAF自身，金鑰的建立是KMS，處理登入資訊的則是 Cognito。

CloudWatch 會即時監控AWS資源及在其上運作的應用程式，透過指標、記錄、警報、儀表板將效能、運作狀態、資源使用率視覺化呈現。記錄誰進行了哪個API操作的是 CloudTrail，記錄組態及其變化的是 AWS Config，依範本建構資源的則是 CloudFormation。

CloudTrail 會將使用者、角色、AWS服務所採取的動作記錄為事件。對象涵蓋管理主控台、CLI、透過SDK或API的操作，可事後追溯是誰進行了哪個API操作。CloudWatch 負責效能與狀態的監控，CloudFormation 負責從範本進行建構，Systems Manager 負責節點的維運操作，都不是用來追溯操作主體的用途。

Config 提供AWS資源組態的詳細檢視，記錄資源之間的關係以及過去的組態情形，讓組態的變化可被追蹤。此外，Config 規則還能評估組態，將違規的資源標記為不合規。門檻值監控是 CloudWatch，依範本建構是 CloudFormation，操作記錄則是 CloudTrail 的角色。

這3項要一起記：CloudWatch 是效能與狀態的即時監控，CloudTrail 是記錄誰進行了哪個API操作，Config 是記錄資源組態並評估合規性。這些並非互相競爭的服務，CloudTrail 的追蹤軌跡會儲存在S3儲存貯體，也可選擇性地一併配送到 CloudWatch Logs。CloudTrail 是發送方，CloudWatch Logs 是接收方，形成這樣的關係。

在 CloudFormation 中，只要建立記載所需資源的文字檔（範本），CloudFormation 就會依此佈建並設定資源。建立出來的資源群可以堆疊這個單位彙整管理，也能一併刪除。範本是設計圖，堆疊則是完成品的整體集合，兩者呈現這樣的對應關係。

CloudFormation 所建立的資源群可作為堆疊這個單位進行管理，也能一併刪除。並非只能個別處理，刪除堆疊時，其中所含的資源也會一併被刪除。依時間序列記錄組態變化的是 AWS Config 的角色。能一次建立、一次消除，正是把基礎設施當作程式碼來處理的優點。

Systems Manager 是一個統一介面，能大規模集中檢視、管理及維運AWS、地端、多雲環境中的節點，包含 Run Command、Session Manager、Automation、Parameter Store、Patch Manager、Fleet Manager 等功能。組態記錄是 Config，依範本建構是 CloudFormation，流量分散則是 ELB。

Spot執行個體是一種使用AWS雲端未使用之EC2容量的購買選項，雖有大幅折扣，但可能會被中斷。適合能容忍中斷的批次處理或測試環境。承諾使用量的是 Savings Plans，承諾執行個體屬性的是預留執行個體，無需預付款也無需承諾的則是隨需執行個體。

Savings Plans 是以承諾一定使用量來換取折扣的計費模式，預留執行個體則是以承諾執行個體類型、平台、租用方式等屬性來換取折扣的計費模式。兩者的期間都是1年或3年，付款方式都可從全額預付、部分預付、無預付中選擇。可能被中斷的是Spot執行個體。

Compute Savings Plans 最為靈活，可對應執行個體系列的變更、區域的變更、在EC2、Fargate、Lambda之間的遷移，以及作業系統的變更。EC2 Instance Savings Plans 由於承諾特定區域中的特定執行個體系列，雖可在同系列內變更大小或作業系統，但無法變更系列與區域。期間兩者皆為1年或3年，付款方式都可從全額預付、部分預付、無預付中選擇。