考证过程里整理的 AWS 网络相关知识点，按 CDN、VPC 与子网、网关、负载均衡、安全组、跨网络连接几块归类。很多服务名字接近、用途容易混，下面尽量把容易考到的区别讲清楚。

CDN 与边缘加速

CloudFront

CloudFront 是内容分发网络（CDN），把静态和动态内容缓存到全球边缘节点，用户从离自己最近的节点取内容，从而降低延迟。

• 内容缓存：内容缓存在全球分布的边缘位置，就近访问减少延迟。
• 适用内容：网站文件（HTML、CSS、JavaScript）、媒体文件（图片、视频）以及其他可缓存的静态/动态内容、API。
• 安全性：数据加密、DDoS 保护、自定义 SSL 证书。
• 集成：与 S3、EC2、ELB 等紧密集成，方便对接源站。

AWS 数据库这块服务多得容易记混，备考时我按数据模型分类:关系型(RDS 和 Aurora)、围绕 RDS 的扩展(Proxy、Custom)、NoSQL(DynamoDB 和它的缓存 DAX)、内存缓存(ElastiCache),再加上几个专用库、迁移工具 DMS 和加密。下面按这个顺序整理。

关系型 RDS 与 Aurora

Amazon RDS

RDS(Relational Database Service)是托管关系型数据库平台,支持多种引擎:MySQL、PostgreSQL、MariaDB、Oracle、Microsoft SQL Server，以及 AWS 自研的 Amazon Aurora。托管的意义在于自动处理备份、补丁、监控和故障恢复,运维量大幅减少。

消息和事件这块是搭解耦架构的地基。这里整理四个服务:SNS 做发布订阅、SQS 做队列、EventBridge 做事件总线、Pinpoint 做用户触达。SNS 广播一对多,SQS 缓冲一对一,EventBridge 按规则路由事件,Pinpoint 面向终端用户发消息。

发布订阅:Amazon SNS

完全托管的发布-订阅(Pub/Sub)消息服务,让应用、分布式系统和微服务通过主题(topic)把通知发到多个订阅终端,提高解耦性和可扩展性。

• 发布-订阅模型:发布者把消息发到主题,多个订阅者(email、SMS、HTTP/S 端点、Lambda、SQS 队列等)接收。支持一对多广播,可把消息同时投递到多个 SQS 队列,确保消息到达不同目标系统。
• 多协议支持:email、SMS、移动推送、HTTP/HTTPS、Lambda、SQS。
• 高扩展高可靠:自动扩展处理大量消息,高可用、低延迟。
• 消息过滤:订阅者按消息属性过滤,只收感兴趣的消息。
• 安全控制:IAM 策略控制发布订阅权限,支持加密传输和消息加密。

这篇整理 IaC 工具的选型、几个部署服务的区别、Well-Architected 五大支柱，以及云转型的阶段划分。

IaC 工具：CloudFormation vs CDK

CloudFormation 是 AWS 第一代基础设施编排工具，用声明式模板（JSON / YAML）描述"想要的状态"，由它来创建、更新、删除资源。CDK 则是用编程语言写代码，最终生成 CloudFormation 模板再部署。

	CloudFormation	CDK
定义方式	JSON / YAML 模板	TypeScript / Python / Java / C# 等代码
编写范式	纯声明式，直接写"想要的状态"	面向对象/函数式，代码生成模板
复用与逻辑	弱，不支持灵活的条件/循环	强，有条件、循环、模块化，构造库丰富
开发体验	模板冗长，调试不便	IDE 自动补全、调试，体验好
学习门槛	低，但复杂场景维护难	需掌握编程语言，且排查问题要懂生成出的模板

一套把容器和主机日志统一收到 S3、再按需查询的链路：fluent-bit 负责采集(EKS 用 DaemonSet,EC2 用 systemd 服务),日志落到 S3 后,要全文检索就用 Logstash 灌进 OpenSearch,临时排查就直接用 Athena 跑 SQL。下面的桶名、路径、endpoint 都换成了占位符,配置结构保持原样。

fluent-bit 采集 EKS Pod 日志到 S3

EKS 里用 DaemonSet 部署 fluent-bit,每个节点跑一个实例收集该节点上的容器日志。需要的 YAML 大致是 ServiceAccount + ClusterRole + ClusterRoleBinding + ConfigMap + DaemonSet 这一套。

备考时把 AWS 存储按访问模型拆成几类来记最省事：对象存储 S3、块存储 EBS、文件存储 EFS / FSx、混合云的 Storage Gateway，最后是把这些都串起来的 AWS Backup。下面按这个顺序整理。

对象存储 S3

Amazon S3（Simple Storage Service）是对象存储，不是块存储也不是文件存储。数据以对象形式存放，每个对象连同元数据一起保存，适合海量非结构化数据：备份、日志、静态网站内容、多媒体。它的卖点是高持久性和近乎无限的水平扩展。

选型上一个常考的对比：要海量、低成本、高耐久的非结构化存储，选 S3；要以传统文件系统形式访问（共享目录、文件锁、低延迟、多用户协作、跑依赖文件系统的企业应用），选 FSx 或 EFS。

考证时整理的 AWS 计算类服务笔记，涵盖无服务器、容器与批处理、工作流编排、弹性伸缩、轻量级实例以及 EC2 启动优化。重点放在容易混淆的服务边界和考点。

无服务器：Lambda

Lambda 是无服务器计算服务，运行代码无需管理服务器，按事件触发、按计算时间计费。工作流程：

1. 上传代码与配置：支持 Python、Node.js、Java、Go 等多种语言，同时配置触发器、执行角色、超时、内存大小等。
2. 事件触发：事件可来自 API Gateway 请求、S3 文件上传、DynamoDB 表更新、CloudWatch 定时触发等。
3. 调用执行环境：事件发生时调用执行环境运行代码，首次调用会创建新环境（Cold Start，冷启动）。
4. 执行与自动扩展：自动按请求量水平扩展并发实例，单次执行时间最长 15 分钟。
5. 结果返回与日志：返回结果并把日志发到 CloudWatch Logs。
6. 按需计费：按运行时间（毫秒计）和分配内存计费，闲置不收费。

考 AWS 认证时按主题域整理的服务知识点，覆盖网络、计算、存储、数据库、数据分析、安全、消息、运维、权限、IaC、成本、灾备十二块。内容偏概念和服务选型对比——很多 AWS 服务名字接近、用途容易混，这套笔记的重点就是把容易考到、实际选型时也容易纠结的区别讲清楚。

计算与网络

• 网络服务：CloudFront、Global Accelerator、VPC、网关、负载均衡、安全组
• 计算服务：Lambda、Fargate、Batch、Step Functions、Auto Scaling、Lightsail

两个常考的多账户权限主题：组织层面用 SCP 限制权限边界，账户之间用 IAM 角色做跨账户授权。

SCP 服务控制策略

在 AWS Organizations 里，服务控制策略（Service Control Policies，SCP）用来集中限制成员账户能用哪些服务和操作，是组织级的权限管控工具。

它的几个关键性质，恰好也是考点：

• 只设上限，不直接授权。SCP 不会给账户任何权限，它只限制权限的最大边界。即使某个 IAM 角色有权限，只要 SCP 拒绝了这个操作，照样执行不了。
• 实际权限 = IAM 策略 ∩ SCP。一个操作必须 SCP 允许、且账户内 IAM 策略也授权，才真正能执行。这个交集关系是最容易出选择题的地方。
• 作用范围灵活：可挂在组织根（Root）、某个组织单元（OU）或单个账户上。
• JSON 格式：和 IAM 策略类似，写 Allow / Deny 的服务和操作。

灾难恢复（Disaster Recovery，DR）是应对系统故障、自然灾害、人为错误的业务连续性方案。各种策略本质是在 成本、恢复时间（RTO）、数据丢失（RPO） 之间做权衡——恢复越快、丢得越少，钱花得越多。

衡量 DR 的两个核心指标：

• RTO（恢复时间目标）：故障后多久能恢复服务。
• RPO（恢复点目标）：能容忍丢多少数据（取决于备份/同步频率）。

DR 策略谱系

下面这张表从冷到热排列，越往下 RTO/RPO 越小、成本越高：