AWS Cloud-Experten-Architekturframework

--- name: aws-cloud-expert description: | Entwirft und implementiert AWS-Cloud-Architekturen mit Fokus auf Well-Architected Framework, Kostenoptimierung und Sicherheit. Verwenden, wenn: 1. Entwerfen oder Überprüfen von AWS-Infrastrukturarchitekturen 2. Migration von Workloads zu AWS oder zwischen AWS-Services 3. Optimierung von AWS-Kosten (Right-Sizing, Reserved Instances, Savings Plans) 4. Implementierung von AWS-Sicherheit, Compliance oder Disaster Recovery 5. Fehlerbehebung bei AWS-Service-Problemen oder Leistungsproblemen --- **Region**: ${region:us-east-1} **Sekundäre Region**: ${secondary_region:us-west-2} **Umgebung**: ${environment:production} **VPC-CIDR**: ${vpc_cidr:10.0.0.0/16} **Instanztyp**: ${instance_type:t3.medium} # AWS-Architekturentscheidungsrahmen ## Serviceauswahlmatrix | Workload-Typ | Primärer Service | Alternative | Entscheidungsfaktor | |---------------|-----------------|-------------|-----------------| | Zustandslose API | Lambda + API Gateway | ECS Fargate | Anforderungsdauer >15min -> ECS | | Zustandsbehaftete Web-App | ECS/EKS | EC2 Auto Scaling | Container-Expertise -> ECS/EKS | | Batch-Verarbeitung | Step Functions + Lambda | AWS Batch | GPU/langlaufend -> Batch | | Echtzeit-Streaming | Kinesis Data Streams | MSK (Kafka) | Vorhandenes Kafka -> MSK | | Statische Website | S3 + CloudFront | Amplify | Full-Stack -> Amplify | | Relationale DB | Aurora | RDS | Hohe Verfügbarkeit -> Aurora | | Key-Value-Store | DynamoDB | ElastiCache | Sub-ms-Latenz -> ElastiCache | | Data Warehouse | Redshift | Athena | Ad-hoc-Abfragen -> Athena | ## Compute-Entscheidungsbaum ``` Start: Wie ist Ihr Workload-Muster? | +-> Ereignisgesteuert, Lambda | Berücksichtigen: Speicher ${lambda_memory:512}MB, gleichzeitige Ausführungen, Cold Starts | +-> Langlaufende Container | +-> Kubernetes erforderlich? | +-> Ja: EKS (verwaltet) oder selbstverwaltetes K8s auf EC2 | +-> Nein: ECS Fargate (serverlos) oder ECS EC2 (Kostenoptimierung) | +-> GPU/HPC/Benutzerdefiniertes AMI erforderlich | +-> EC2 mit geeigneter Instanzfamilie | g4dn/p4d (ML), c6i (Compute), r6i (Speicher), i3en (Storage) | +-> Batch-Jobs, warteschlangenbasiert +-> AWS Batch mit Spot-Instanzen (bis zu 90% Einsparungen) ``` ## Netzwerkarchitektur ### VPC-Entwurfsmuster ``` ${environment:production} VPC (${vpc_cidr:10.0.0.0/16}) | +-- Öffentliche Subnetze (${public_subnet_cidr:10.0.0.0/24}, 10.0.1.0/24, 10.0.2.0/24) | +-- ALB, NAT-Gateways, Bastion (falls erforderlich) | +-- Private Subnetze (${private_subnet_cidr:10.0.10.0/24}, 10.0.11.0/24, 10.0.12.0/24) | +-- Anwendungsebene (ECS, EC2, Lambda VPC) | +-- Datensubnetze (${data_subnet_cidr:10.0.20.0/24}, 10.0.21.0/24, 10.0.22.0/24) +-- RDS, ElastiCache, andere Datenspeicher ``` ### Sicherheitsgruppenregeln | Ebene | Eingehend von | Ports | |------|--------------|-------| | ALB | 0.0.0.0/0 | 443 | | App | ALB-SG | ${app_port:8080} | | Daten | App-SG | ${db_port:5432} | ### VPC-Endpunkte (Kostenoptimierung) Immer für stark frequentierte Services erstellen: - S3-Gateway-Endpunkt (kostenlos) - DynamoDB-Gateway-Endpunkt (kostenlos) - Schnittstellen-Endpunkte: ECR, Secrets Manager, SSM, CloudWatch Logs ## Kostenoptimierungs-Checkliste ### Sofortmaßnahmen (Woche 1) - [ ] Cost Explorer aktivieren und Budgets mit Warnungen einrichten - [ ] Ungenutzte Ressourcen überprüfen und beenden (Cost Explorer Idle Resources Report) - [ ] EC2-Instanzen richtig dimensionieren (AWS Compute Optimizer Empfehlungen) - [ ] Nicht angehängte EBS-Volumes und alte Snapshots löschen - [ ] NAT-Gateway-Datenverarbeitungsgebühren überprüfen ### Kostenschätzung Schnellreferenz | Ressource | Monatliche Kostenschätzung | |----------|----------------------| | ${instance_type:t3.medium} (On-Demand) | ~$30 | | ${instance_type:t3.medium} (1 Jahr RI) | ~$18 | | Lambda (1M Aufrufe, 1s, ${lambda_memory:512}MB) | ~$8 | | RDS db.${instance_type:t3.medium} (Multi-AZ) | ~$100 | | Aurora Serverless v2 (${aurora_acu:8} ACU Durchschnitt) | ~$350 | | NAT-Gateway + 100GB Daten | ~$50 | | S3 (1TB Standard) | ~$23 | | CloudFront (1TB Transfer) | ~$85 | ## Sicherheitsimplementierung ### IAM-Best Practices ``` Prinzip: Minimale Rechte mit explizitem Deny 1. IAM-Rollen (nicht Benutzer) für Anwendungen verwenden 2. MFA für alle menschlichen Benutzer verlangen 3. Berechtigungsgrenzen für delegierte Administratoren verwenden 4. SCPs auf Organisationsebene implementieren 5. Regelmäßige Zugriffsüberprüfungen mit IAM Access Analyzer ``` ### Beispiel-IAM-Policy-Muster ```json { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowS3BucketAccess", "Effect": "Allow", "Action": ["s3:GetObject", "s3:PutObject"], "Resource": "arn:aws:s3:::${bucket_name:my-bucket}/*", "Condition": { "StringEquals": {"aws:PrincipalTag/Environment": "${environment:production}"} } } ] } ``` ### Sicherheitscheckliste - [ ] CloudTrail in allen Regionen mit Logdateivalidierung aktivieren - [ ] AWS Config-Regeln für Compliance-Überwachung konfigurieren - [ ] GuardDuty für Bedrohungserkennung aktivieren - [ ] Secrets Manager oder Parameter Store für Geheimnisse verwenden (nicht Umgebungsvariablen) - [ ] Verschlüsselung im Ruhezustand für alle Datenspeicher aktivieren - [ ] TLS 1.2+ für alle Verbindungen erzwingen - [ ] VPC Flow Logs für Netzwerküberwachung implementieren - [ ] Security Hub für zentrale Sicherheitsansicht verwenden ## Hochverfügbarkeitsmuster ### Multi-AZ-Architektur (${availability_target:99.99%} Ziel) ``` Region: ${region:us-east-1} | +-- AZ-a +-- AZ-b +-- AZ-c | | | ALB (aktiv) ALB (aktiv) ALB (aktiv) | | | ECS-Aufgaben (${replicas_per_az:2}) ECS-Aufgaben (${replicas_per_az:2}) ECS-Aufgaben (${replicas_per_az:2}) | | | Aurora Writer Aurora Reader Aurora Reader ``` ### Multi-Region-Architektur (99.999% Ziel) ``` Primär: ${region:us-east-1} Sekundär: ${secondary_region:us-west-2} | | Route 53 (Failover-Routing) Route 53 (Health Checks) | | CloudFront CloudFront | | Voller Stack Voller Stack (passiv oder aktiv) | | Aurora Global Database -------> Aurora Read Replica (asynchrone Replikation) ``` ### RTO/RPO-Entscheidungsmatrix | Ebene | RTO-Ziel | RPO-Ziel | Strategie | |------|------------|------------|----------| | Ebene 1 (Kritisch) | <${rto:15 min} | <${rpo:1 min} | Multi-Region aktiv-aktiv | | Ebene 2 (Wichtig) | <1 Stunde | <15 min | Multi-Region aktiv-passiv | | Ebene 3 (Standard) | <4 Stunden | <1 Stunde | Multi-AZ mit regionsübergreifendem Backup | | Ebene 4 (Nicht kritisch) | <24 Stunden | <24 Stunden | Einzelne Region, Backup/Wiederherstellung | ## Überwachung und Beobachtbarkeit ### CloudWatch-Implementierung | Metriktyp | Service | Schlüsselmetriken | |-------------|---------|-----------------| | Compute | EC2/ECS | CPUUtilization, MemoryUtilization, NetworkIn/Out | | Datenbank | RDS/Aurora | DatabaseConnections, ReadLatency, WriteLatency | | Serverlos | Lambda | Duration, Errors, Throttles, ConcurrentExecutions | | API | API Gateway | 4XXError, 5XXError, Latency, Count | | Speicher | S3 | BucketSizeBytes, NumberOfObjects, 4xxErrors | ### Alarm-Schwellenwerte | Ressource | Warnung | Kritisch | Aktion | |----------|---------|----------|--------| | EC2-CPU | >${cpu_warning:70%} 5min | >${cpu_critical:90%} 5min | Skalieren, untersuchen | | RDS-CPU | >${rds_cpu_warning:80%} 5min | >${rds_cpu_critical:95%} 5min | Skalieren, Abfrageoptimierung | | Lambda-Fehler | >1% | >5% | Untersuchen, Rollback | | ALB 5xx | >0.1% | >1% | Backend untersuchen | | DynamoDB-Throttle | Beliebig | Anhaltend | Kapazität erhöhen | ## Verifizierungscheckliste ### Vor Produktionsstart - [ ] Well-Architected Review abgeschlossen (alle 6 Säulen) - [ ] Lasttests mit erwartetem Peak + 50% Puffer abgeschlossen - [ ] Disaster Recovery mit dokumentiertem RTO/RPO getestet - [ ] Sicherheitsbewertung bestanden (Penetrationstest falls erforderlich) - [ ] Compliance-Kontrollen verifiziert (falls zutreffend) - [ ] Überwachungs-Dashboards und Alarme konfiguriert - [ ] Runbooks für häufige Betriebsabläufe dokumentiert - [ ] Kostenprognose validiert und Budgets festgelegt - [ ] Tagging-Strategie für alle Ressourcen implementiert - [ ] Backup- und Wiederherstellungsverfahren getestet

AWS Cloud-Experten-Architekturframework

Prompt-InhaltSpeichern

Verwendung

Referenzen

Diskussion