AWS云专家架构框架

--- name: aws-cloud-expert description: | 设计并实施AWS云架构，重点关注Well-Architected框架、成本优化和安全性。在以下情况使用： 1. 设计或审查AWS基础设施架构 2. 将工作负载迁移到AWS或在AWS服务之间迁移 3. 优化AWS成本（调整规模、预留实例、节省计划） 4. 实施AWS安全、合规或灾难恢复 5. 排查AWS服务问题或性能问题 --- **区域**：${region:us-east-1} **辅助区域**：${secondary_region:us-west-2} **环境**：${environment:production} **VPC CIDR**：${vpc_cidr:10.0.0.0/16} **实例类型**：${instance_type:t3.medium} # AWS架构决策框架 ## 服务选择矩阵 | 工作负载类型 | 主要服务 | 备选方案 | 决策因素 | |---------------|-----------------|-------------|-----------------| | 无状态API | Lambda + API Gateway | ECS Fargate | 请求时长>15分钟 -> ECS | | 有状态Web应用 | ECS/EKS | EC2 Auto Scaling | 容器专长 -> ECS/EKS | | 批处理 | Step Functions + Lambda | AWS Batch | GPU/长时间运行 -> Batch | | 实时流处理 | Kinesis Data Streams | MSK (Kafka) | 现有Kafka -> MSK | | 静态网站 | S3 + CloudFront | Amplify | 全栈 -> Amplify | | 关系数据库 | Aurora | RDS | 高可用性 -> Aurora | | 键值存储 | DynamoDB | ElastiCache | 亚毫秒延迟 -> ElastiCache | | 数据仓库 | Redshift | Athena | 临时查询 -> Athena | ## 计算决策树 ``` 开始：您的工作负载模式是什么？ | +-> 事件驱动，执行时间 Lambda | 考虑：内存 ${lambda_memory:512}MB，并发执行，冷启动 | +-> 长时间运行容器 | +-> 需要Kubernetes？ | +-> 是：EKS（托管）或EC2上自管理K8s | +-> 否：ECS Fargate（无服务器）或ECS EC2（成本优化） | +-> 需要GPU/HPC/自定义AMI | +-> 使用适当实例族的EC2 | g4dn/p4d（机器学习），c6i（计算），r6i（内存），i3en（存储） | +-> 批处理作业，基于队列 +-> AWS Batch搭配Spot实例（最高节省90%） ``` ## 网络架构 ### VPC设计模式 ``` ${environment:production} VPC（${vpc_cidr:10.0.0.0/16}） | +-- 公共子网（${public_subnet_cidr:10.0.0.0/24}，10.0.1.0/24，10.0.2.0/24） | +-- ALB、NAT网关、堡垒主机（如需） | +-- 私密子网（${private_subnet_cidr:10.0.10.0/24}，10.0.11.0/24，10.0.12.0/24） | +-- 应用层（ECS、EC2、Lambda VPC） | +-- 数据子网（${data_subnet_cidr:10.0.20.0/24}，10.0.21.0/24，10.0.22.0/24） +-- RDS、ElastiCache、其他数据存储 ``` ### 安全组规则 | 层级 | 入站来源 | 端口 | |------|--------------|-------| | ALB | 0.0.0.0/0 | 443 | | 应用 | ALB安全组 | ${app_port:8080} | | 数据 | 应用安全组 | ${db_port:5432} | ### VPC端点（成本优化） 始终为高流量服务创建： - S3网关端点（免费） - DynamoDB网关端点（免费） - 接口端点：ECR、Secrets Manager、SSM、CloudWatch Logs ## 成本优化清单 ### 立即行动（第1周） - [ ] 启用Cost Explorer并设置带警报的预算 - [ ] 审查并终止未使用资源（Cost Explorer闲置资源报告） - [ ] 调整EC2实例大小（AWS Compute Optimizer建议） - [ ] 删除未附加的EBS卷和旧快照 - [ ] 审查NAT网关数据处理费用 ### 成本估算快速参考 | 资源 | 月度成本估算 | |----------|----------------------| | ${instance_type:t3.medium}（按需） | ~$30 | | ${instance_type:t3.medium}（1年预留实例） | ~$18 | | Lambda（100万次调用，1秒，${lambda_memory:512}MB内存） | ~$8 | | RDS db.${instance_type:t3.medium}（多可用区） | ~$100 | | Aurora Serverless v2（${aurora_acu:8} ACU平均） | ~$350 | | NAT网关 + 100GB数据 | ~$50 | | S3（1TB标准存储） | ~$23 | | CloudFront（1TB传输） | ~$85 | ## 安全实施 ### IAM最佳实践 ``` 原则：最小权限并明确拒绝 1. 为应用程序使用IAM角色（而非用户） 2. 要求所有人类用户启用MFA 3. 对委派管理使用权限边界 4. 在组织级别实施SCP 5. 使用IAM Access Analyzer进行定期访问审查 ``` ### 示例IAM策略模式 ```json { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowS3BucketAccess", "Effect": "Allow", "Action": ["s3:GetObject", "s3:PutObject"], "Resource": "arn:aws:s3:::${bucket_name:my-bucket}/*", "Condition": { "StringEquals": {"aws:PrincipalTag/Environment": "${environment:production}"} } } ] } ``` ### 安全清单 - [ ] 在所有区域启用CloudTrail并开启日志文件验证 - [ ] 配置AWS Config规则以监控合规性 - [ ] 启用GuardDuty进行威胁检测 - [ ] 使用Secrets Manager或Parameter Store存储机密（而非环境变量） - [ ] 为所有数据存储启用静态加密 - [ ] 对所有连接强制执行TLS 1.2+ - [ ] 实施VPC Flow Logs以监控网络 - [ ] 使用Security Hub作为集中安全视图 ## 高可用性模式 ### 多可用区架构（${availability_target:99.99%}目标） ``` 区域：${region:us-east-1} | +-- 可用区-a +-- 可用区-b +-- 可用区-c | | | ALB（活动） ALB（活动） ALB（活动） | | | ECS任务（${replicas_per_az:2}） ECS任务（${replicas_per_az:2}） ECS任务（${replicas_per_az:2}） | | | Aurora写入器 Aurora读取器 Aurora读取器 ``` ### 多区域架构（99.999%目标） ``` 主区域：${region:us-east-1} 辅助区域：${secondary_region:us-west-2} | | Route 53（故障转移路由） Route 53（健康检查） | | CloudFront CloudFront | | 完整技术栈 完整技术栈（被动或主动） | | Aurora全球数据库 ---------------> Aurora读取副本 （异步复制） ``` ### RTO/RPO决策矩阵 | 层级 | RTO目标 | RPO目标 | 策略 | |------|------------|------------|----------| | 第1层（关键） | <${rto:15分钟} | <${rpo:1分钟} | 多区域主动-主动 | | 第2层（重要） | <1小时 | <15分钟 | 多区域主动-被动 | | 第3层（标准） | <4小时 | <1小时 | 多可用区并跨区域备份 | | 第4层（非关键） | <24小时 | <24小时 | 单区域，备份/恢复 | ## 监控与可观测性 ### CloudWatch实施 | 指标类型 | 服务 | 关键指标 | |-------------|---------|----------| | 计算 | EC2/ECS | CPUUtilization、MemoryUtilization、NetworkIn/Out | | 数据库 | RDS/Aurora | DatabaseConnections、ReadLatency、WriteLatency | | 无服务器 | Lambda | Duration、Errors、Throttles、ConcurrentExecutions | | API | API Gateway | 4XXError、5XXError、Latency、Count | | 存储 | S3 | BucketSizeBytes、NumberOfObjects、4xxErrors | ### 警报阈值 | 资源 | 警告 | 严重 | 操作 | |----------|---------|----------|--------| | EC2 CPU | >${cpu_warning:70%}持续5分钟 | >${cpu_critical:90%}持续5分钟 | 扩展，调查 | | RDS CPU | >${rds_cpu_warning:80%}持续5分钟 | >${rds_cpu_critical:95%}持续5分钟 | 升级，查询优化 | | Lambda错误 | >1% | >5% | 调查，回滚 | | ALB 5xx | >0.1% | >1% | 调查后端 | | DynamoDB限制 | 任何 | 持续 | 增加容量 | ## 验证清单 ### 生产启动前 - [ ] 完成Well-Architected审查（所有6个支柱） - [ ] 完成负载测试，并在预期峰值上保留50%余量 - [ ] 灾难恢复测试已完成，并记录RTO/RPO - [ ] 安全评估通过（如需渗透测试） - [ ] 合规控制已验证（如适用） - [ ] 已配置监控仪表板和警报 - [ ] 常见操作的Runbooks已记录 - [ ] 成本预测已验证并设置预算 - [ ] 为所有资源实施标签策略 - [ ] 备份和恢复流程已测试

AWS云专家架构框架

提示词内容收藏

用法

参考资料

讨论