อภิธานศัพท์ AWS

ออกและต่ออายุใบรับรอง SSL/TLS อัตโนมัติ ใช้กับ ALB/CloudFront/API Gateway

กลุ่ม data center ที่แยกกันทางกายภาพภายในหนึ่ง Region กระจายงานข้าม AZ เพื่อความทนทาน

รวมหลายบัญชี AWS ไว้จัดการรวมศูนย์ จัดกลุ่มด้วย OU และรวมบิล

ป้องกัน DDoS — Standard ฟรีอัตโนมัติ, Advanced ครอบคลุมกว่าแต่เสียเงิน

กรอง traffic ระดับเว็บ (Layer 7) เช่นบล็อก SQLi/XSS และจำกัด rate

รูปแบบกำหนดช่วง IP (เช่น 10.0.0.0/16) เลขหลัง / น้อย = ช่วงใหญ่

CDN ของ AWS แคชเนื้อหาที่ Edge Location ใกล้ผู้ใช้

ระบบสมัคร/ล็อกอินสำหรับผู้ใช้ปลายทางของแอป (User Pool + Identity Pool)

สายเชื่อมเฉพาะระหว่าง data center กับ AWS เสถียร latency ต่ำคงที่

ฐานข้อมูล NoSQL แบบ managed ระดับ millisecond ปรับสเกลอัตโนมัติ

ดิสก์ (block storage) ที่แนบกับ EC2 สร้าง snapshot สำรองได้

เซิร์ฟเวอร์เสมือนที่เลือกสเปกได้ (ตัวอย่างของ IaaS)

จุดกระจายเนื้อหาใกล้ผู้ใช้ทั่วโลก ใช้กับ CloudFront เพื่อลด latency

public IPv4 คงที่ที่ย้ายข้ามเครื่องได้ (ทำ failover ง่าย)

กระจายโหลดไปหลายเครื่อง มี ALB, NLB และ Gateway LB

การ์ดเครือข่ายเสมือนของเครื่อง มี IP/MAC/SG ของตัวเอง ถอด-แปะได้

โควตาใช้ฟรีของ AWS มี 3 แบบ: Always Free, 12 เดือนแรก, และ Trials

ตรวจจับภัยคุกคาม/พฤติกรรมน่าสงสัยจาก log อัตโนมัติ

โมเดลบริการ cloud แบ่งตามว่าใครจัดการชั้นไหน (โครงสร้าง/แพลตฟอร์ม/ซอฟต์แวร์)

บริการคุมว่าใครทำอะไรกับทรัพยากร AWS ได้ ประกอบด้วย user/group/role/policy เป็น global และฟรี

เอกสาร JSON ระบุ Effect/Action/Resource ว่าทำอะไรได้บ้าง (explicit Deny ชนะเสมอ)

ตัวตนที่ไม่มี credential ถาวร ให้คนหรือบริการสวมชั่วคราวเพื่อรับสิทธิ์

สแกนหาช่องโหว่ (vulnerability) ใน EC2, container image และ Lambda

ประตูสองทางเชื่อม VPC กับอินเทอร์เน็ต ติดที่ระดับ VPC

บริการจัดการกุญแจเข้ารหัส ใช้เข้ารหัสข้อมูล at rest (S3/EBS/RDS)

รันโค้ดแบบ serverless จ่ายตามจำนวนครั้งที่เรียก ไม่ต้องดูแลเซิร์ฟเวอร์

หลักให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น เพื่อจำกัดความเสียหายเมื่อบัญชีหลุด

ใช้ ML ค้นหาข้อมูลอ่อนไหว/PII ที่เก็บอยู่ใน S3

ยืนยันตัวตนชั้นที่สองนอกจากรหัสผ่าน เช่น รหัสจากแอป/อุปกรณ์

ให้ private subnet ออกเน็ตได้ทางเดียว (เข้าไม่ได้) วางใน public subnet

ไฟร์วอลล์ระดับ subnet เป็น stateless มีทั้ง allow/deny (บล็อก IP เจาะจงได้)

เก็บ config/secret (SecureString) อยู่ใน Systems Manager ระดับ Standard ฟรี ไม่มี rotation

เทคโนโลยีเบื้องหลัง Interface Endpoint ให้เข้าถึงบริการแบบ private ผ่าน ENI

ฐานข้อมูล SQL แบบ managed รองรับ Multi-AZ และ Read Replica

พื้นที่ทางภูมิศาสตร์ของ AWS (เช่น Singapore) แต่ละ Region แยกจากกัน มีหลาย AZ

บริการ DNS ของ AWS รองรับ routing policy หลายแบบ

ตารางบอกเส้นทางว่า traffic ปลายทางต่าง ๆ ต้องวิ่งไปไหน

ที่เก็บไฟล์แบบ object ยอดนิยม มีหลาย storage class

เพดานสิทธิ์สูงสุดของบัญชีใน Organizations (กรอบจำกัด ไม่ใช่การให้สิทธิ์)

เก็บความลับ + หมุนรหัสอัตโนมัติ (เช่น รหัส RDS) มีค่าใช้จ่ายต่อ secret

ไฟร์วอลล์ระดับเครื่อง (instance) เป็น stateful มีแต่กฎ allow

ศูนย์รวมผลตรวจความปลอดภัยจากบริการต่าง ๆ มาดูภาพรวมในที่เดียว

AWS ดูแลความปลอดภัย "ของ" cloud, ลูกค้าดูแลความปลอดภัย "ใน" cloud

เชื่อม on-prem กับ VPC ผ่านอินเทอร์เน็ตแบบเข้ารหัส ตั้งเร็ว ถูก แต่ latency ไม่นิ่ง

การแบ่งย่อยภายใน VPC ผูกกับ AZ — public (ออกเน็ตได้) หรือ private (ซ่อน)

ฮับกลางเชื่อมหลาย VPC และ on-prem เข้าด้วยกัน จัดการง่ายเมื่อสเกลใหญ่

เครือข่ายส่วนตัวเสมือนใน AWS อยู่ใน 1 Region ครอบได้หลาย AZ

เข้าถึงบริการ AWS แบบ private ไม่ออกเน็ต — Gateway (S3/DynamoDB, ฟรี) หรือ Interface

เชื่อม 2 VPC แบบจุดต่อจุด ไม่ transitive และ CIDR ห้ามทับ