AWS 核心服务概述（二）

AWS网络服务

VPC

• VPC 与虚拟网络是逻辑隔离的
• 一个VPC只能属于一个区域，但可以属于多个可用区
• VPC主要属性：IP范围，路由，网关，安全设置

Direct Connect

• 用户数据中心到AWS的专用网络连接
• 在高吞吐的情况下可以降低网络成本、增加带宽吞吐能力

Route53

• 高可用的可扩展的DNS 服务

AWS 计算服务

EC2

• 客户完全控制的计算资源，并可以在成熟的 Amazon 计算环境中运行
• Amazon EC2 将获取与启动新服务器实例所需要的时间缩短至几分钟，在您的计算要求发生变化时，您便可以快速扩展或缩减计算容量。 Amazon EC2 按您实际使用量收费。
• 支持大多数版本的Windows 和 Linux 操作系统
• 可以创建、保存和重复使用镜像 AMI
• 可以一次用鼠标或者API启用一个或多个实例
• 按需启动和中止实例
• 使用安全组控制进出实例的流量
• 选择实例考虑的因素： 核心、内存、存储大小和类型、网络性能和 CPU技术

EMR（Elastic MapReduce）

• 它基于 Amazon EC2 技术和 Amazon Simple Storage Service (Amazon S3) 技术的 Web 规模基础设施，是一种 Hadoop 托管服务运行架构。
• Amazon EMR 能即时灵活配置自身所需容量大小，执行数据密集型应用计算，完成 Web 索引、数据挖掘、日志文件分析、数据仓库、机器学习、财务分析、科学模拟和生物信息研究任务。

AWS Lambda

• 适用于后端Web开发的零管理计算平台
• 在AWS直接运行后端代码，从而提供基于AWS基础架构的高可用、安全性、性能和可伸缩性

Auto Scaling

• 让您可以根据您定义的条件自动扩展 Amazon EC2 容量。
• 通过使用 Auto Scaling，您可以确保所使用的 Amazon EC2 实例数量在需求峰值期实现无缝增长以保持性能，也可以在需求平淡期自动减少， 将成本降至最低。
• Auto Scaling 特别适合每小时、每天或每周使用率都不同的应用程序。
• Auto Scaling 通过Amazon CloudWatch 启用，除了 Amazon CloudWatch 费用外，无需支付其他任何费用。

Elastic Load Balancing

• 在多个 Amazon EC2 实例间自动分配应用程序的传入流量
• Elastic Load Balancing 可以检测出不健全的实例，并自动更改路由，使其指向健全的实例，直到不健全的实例恢复为止

AWS Elastic Benstalk

• 在AWS上部署Web应用的最快捷最简单的方式
• 直接上传代码而由AWS自行对资源进行调配

AWS 存储

存储类型

• 块存储： 对数据的一个部分进行操作，能够快速访问和修改，
• 对象存储： 对这个数据进行操作

EBS存储

• 能够创建单独的数据卷并挂载在EC2上
• 数据块级存储
• 适用于EC2的启动卷和存储
• 带有文件系统的数据存储
• 数据块和企业应用程序
• 用于EC2的持久的块级存储卷
• EBS会自动在可用区内自动复制以提高可用性
• 可以备份至S3

S3

• 托管的对象存储解决方案
• 冗余方式存储，11个9的存储可用性
• 无缝任意扩展的存储池
• 可以通过AWS控制台或者第三方API访问S3
• 对象的变化可以触发通知、流程、脚本
• 动态数据和静态数据可自动进行加密
• 为使用量GB、跨域复制、PUT/COPY等请求进行付费，主要适用于非频繁访问的数据
• 支持包括HTML、源代码、图像和加密数据等格式
• 支持备份和恢复、近线归档、大数据分析、灾难恢复、云应用和内容分发提供经济高效的对象存储

S3 Glacier

• 数据归档服务，适用于不太访问的数据
• 安全性、持久性和极低成本
• 支持静态和动态的SSL/TLS加密
• 数据检索通常需要好几个小时

AWS Storage Gateway

• 在内部部署软件设备与基于云的存储器相连接的服务
• 用户在本地数据中心维护经常访问的数据缓存，同时为存储在S3或Glacier中的所有数据提供低延迟的访问

CloudFront

• 内容交付Web服务，提供低延迟、高速和最低使用承诺的全球CDN业务
• 利用全球的边缘网络提供整个网站的访问，包括动态、静态、流媒体和交互式内容
• AWS上存储的文件生命周期策略

AWS 数据库

RDS

• 关系型数据库托管服务
• 可以通过AWS控制台、RDS命令行和API进行调用
• 可扩展、支持自动冗余和备份
• 支持SQL、Oracle等数据库
• 适用的场景：复杂事物和复杂查询、30K IOPS以下的中高读写，不超过一个节点的分片、高持久性
• 不适用场景：超高读写 如150K IOPS， 可以用NoSQL实现的简单请求

DynamoDB

• 完全托管的NoSQL数据库
• 任意规模上实现低于10ms的低延迟，完全运行在SSD
• 支持文档和键值存储模式
• 非常适合移动、web、游戏、广告和 IOT
• 可以通过AWS控制台、命令行和API进行调用
• 用户需要制定希望为读取和写入预置的吞吐容量，以确保一致性的低延迟性能，读取通常以4KB/s为一个单位，写入以1KB/s为一个单位

Redshift

• 快速、全面管理的PB级数据仓库服务
• 提供标准SQL接口，借助现有的BI工具进行简单高效的结构化数据分析
• 提供跨多节点并行查询方式提高快速查询性能
• 允许组织自行执行和配置、监控云数据仓库中的大部分管理任务

ElastiCache

• 采用Web服务来简化云中的内存缓存的部署操作和扩展
• 支持Memcached 和 Redis缓存引擎

管理工具

Amazon CloudWatch

• 云资源和云应用程序的监控服务
• 搜集跟踪指标、收集和监视日志文件并设置告警
• 获取全系统的资源利用率和程序性能及运行状况的可见性

AWS CloudFormation

• 对AWS资源以有序和可预测的方式进行配置和更新
• 定义一种基于JSON和YAML的模板语言

AWS CloudTrail

• 记录账户的API调用并提供日志文件供审计和审查
• 信息包括 API调用者身份，调用时间，源IP地址、请求参数以及服务返回响应值

AWS Config

• 提供AWS资源清单、配置历史记录和配置更改通知
• 支持合规审计、安全分析、变更跟踪和故障排除的安全和治理

安全和身份

IAM 身份和访问管理

• 有效安全的组织用户对AWS服务和资源的访问
• 创建和管理AWS用户、组以及角色，并使用权限管理允许或拒绝

AWS密钥管理服务KMS

• 创建和管理加密数据的加密密钥
• 支持使用硬件安全模块HSM保护根密钥安全

AWS Directory Service

• 允许在AWS设置并运行MicroSoft AD或将资源与现有AD关联
• 利用AD管理用户合租，并创建和应用组策略

AWS Certificate Manager

• 配置和管理及部署SSL/TLS证书以用于AWS云服务
• 支持快速申请

AWS WAF Web应用程序防火墙

• 用于帮助Web应用程序防御常见***
• 通过定制Web安全规则，为组织控制允许或组织其Web应用程序的流量

应用服务

AWS API Gateway

• 完全托管的服务
• 创建、发布、维护、监控和保护各种规模的API
• 可以接受和处理最大数十万个并发的API调用
• 支持包括流量管理、授权和访问控制、监控及API版本管理

Amazon Elastic Transcoder 弹性转码器

• 在AWS进行云中的媒体转码
• 将媒体文件从其源格式转换成可在智能手机、平板电脑和PC等设备上播放的格式

Amazon SNS 简单通知服务

• 管理向收件人发送消息或邮件的Web服务
• 支持两种角色： 发布者和订阅者
• 通过发布者向订阅者发送消息实现异步通信

Amazon SES 简单电子邮件服务

• 利用SES向客户发送交易、营销信息及其他内容电子邮件
• 一种应用场景： 通过SES接受消息，传递到S3，触发Lambda，再发布通知到SNS

Amazon Simple Workflow Service

• 构建、运行和缩放具有顺序或并行步骤的后台作业
• 基于云的完全管理状态跟踪器和任务协调器
• 场景是监控应用程序的步骤，跟踪处理状态并在任何时候任务失败是进行恢复和重试 ，提高应用程序可靠性

Amazon Simple Queue Service

• 完全托管的、可靠和可扩展的消息队列服务
• 适用于任何吞吐量级别、传输任何数据而不会丢失消息且要求其他服务始终可用

Amazon Workspaces 服务

• 托管桌面服务，可以快速配置基于云的桌面

代码服务

AWS CodeBuild

• AWS CodeBuild 是一项完全托管的持续集成服务，可编译源代码、运行测试以及生成可供部署的软件包。
• 使用 CodeBuild，您无需预置、管理和扩展自己的构建服务器。
• CodeBuild 可以持续扩展并同时处理多项构建任务，因此您的构建任务不会在队列中等待。
• 您可以使用预先打包的构建环境快速开始，也可以创建使用您自己的构建工具的自定义构建环境。使用 CodeBuild，您将按使用计算资源的分钟数付费。

AWS CodeDeploy

• AWS CodeDeploy 是一项将软件自动部署到各种计算服务（例如 Amazon EC2、AWS Fargate、AWS Lambda 和本地服务器）的完全托管的部署服务。
• 借助 AWS CodeDeploy，您可以更轻松地快速发布新功能，避免在应用程序部署过程中出现停机，并简化应用程序的更新工作。
• 您可以使用 AWS CodeDeploy 自动执行软件部署，而无需执行容易出错的手动操作。服务根据您的部署需求进行扩展。

AWS核心服务部署最佳实践

IAM用户组管理

• 创建一个IAM组并授予完全管理员权限
• 停止使用根账户，使用IAM用户凭证登录
• 为IAM账户启用MFA
• 软件MFA：AWS Virtual MFA、Google Authenticator、Authenticator、SMS
• 硬件MFA： Gemalto 秘钥卡 等

开启AWS CloudTrail

• 记录对账户中所有的API请求
• 记录包括API调用 身份、时间、源IP、请求参数、返回的响应元素等
• 主要用于安全分析、追踪资源变更、排查操作问题、合规性协作等
• 确保用于CloudTrail的S3只授权给了指定用户
• 可以与APN的日志分析工具集成，如Splunk, SumoLogic, AlertLogic

启用AWS Config 追踪资源配置变更

• 完全托管的服务，AWS Config 是AWS 账户中资源的详细配置视图
• 查看资源之间的联系
• 可以获取当前资源配置的快照
• 能够检索相关资源的历史配置信息
• 提供AWS资源清单、配置历史记录和配置变更通知

开启账单报告

• AWS资源使用情况及预估成本
• 报告交给指定的S3并每天更新一次

EC2安全性

• 使用联合身份、IAM用户以及IAM Role对AWS 资源和 API的访问权限
• 建立用于创建、分配、轮换和撤销AWS访问凭证的凭证管理策略和程序
• 安全组只允许特定实例的IP范围进行访问
• 定期修补和更新操作系统及应用程序，并且保存镜像以便于重复使用

EC2存储

• EC2 Instance 可以支持自带的实例存储和EBS，
• 不同的存储类型在数据持久性、备份、恢复和总大小是不一样的。

EC2资源管理

• 使用实例元数据和自定义标签更轻松的追踪和识别实例
• 实例元数据是有关实例的数据，包括AMI ID、实例 ID、共有和私有IP、主机地址、MAC地址以及相关联的IAM实例角色和安全组
• 使用标签以不同方式将AWS分类，如按用途、所有者、环境等，标签包含 键 和 可选值组成

EC2备份与恢复

• 定期备份实例
• 把重要数据复制到多个位置
• 跨多个区域部署应用程序的关键组件
• 在应用程序设计时考虑实例重启后如何处理动态IP
• 监控事件并作出响应，如CloudWatch
• 确保随时可以处理故障转移
• 定期测试实例和EBS恢复流程

AWS 服务限制

• 服务数量有上限 - 可以在limits选项持续
• 每个区域的限制稍有差异
• 有一些硬性限制无法修改
• 可以对软性限制提出调整
• 使用Trusted Advisor服务检查限制情况

链接：https://www.jianshu.com/p/205272f0c64d