Kiến thức cơ bản về 1 số thành phần hay sử dụng trong AWS

Giới thiệu cơ bản

1. VPC (Virtual Private Cloud)

• Kiến trúc VPC:
  • CIDR Block: Chọn CIDR block phù hợp cho VPC. Ví dụ: /16 cho mạng lớn, /24 cho subnet nhỏ hơn.
  • Subnetting: Chia VPC thành các subnet public và private. Subnet public có thể kết nối với Internet qua Internet Gateway, trong khi subnet private chỉ kết nối qua NAT Gateway hoặc không có kết nối ra ngoài.
  • Route Tables: Cấu hình bảng định tuyến cho các subnet. Subnet public sẽ có route đến Internet Gateway, trong khi subnet private sẽ có route đến NAT Gateway.
• Peering và Transit Gateway:
  • VPC Peering: Tạo kết nối giữa các VPC khác nhau trong cùng tài khoản hoặc khác tài khoản, hỗ trợ chia sẻ tài nguyên giữa các VPC.
  • Transit Gateway: Sử dụng khi cần quản lý kết nối mạng phức tạp giữa nhiều VPC hoặc kết nối mạng on-premises với AWS qua Direct Connect.
• Security Groups và Network ACLs:
  • Security Groups: Áp dụng các quy tắc bảo mật ở mức instance, cho phép hoặc từ chối lưu lượng theo từng port, IP hoặc VPC CIDR block.
  • Network ACLs: Áp dụng các quy tắc bảo mật ở mức subnet, cho phép hoặc từ chối lưu lượng dựa trên nguyên tắc stateless.

2. Landing Zone

• Thiết lập Landing Zone với AWS Control Tower:
  • AWS Organizations: Tạo và quản lý các tài khoản con với vai trò khác nhau trong tổ chức. Điều này giúp quản lý quyền truy cập và chi phí hiệu quả.
  • SCP (Service Control Policies): Định nghĩa và áp dụng các chính sách bảo mật và compliance trên toàn bộ tài khoản trong tổ chức.
  • Guardrails: Sử dụng Guardrails của AWS Control Tower để tự động áp dụng các best practices về bảo mật và compliance khi triển khai tài nguyên mới.
• Customizations:
  • Custom Landing Zone: Tùy chỉnh Landing Zone theo nhu cầu cụ thể của tổ chức, chẳng hạn như tích hợp các dịch vụ bảo mật bổ sung hoặc quản lý logs và giám sát nâng cao.

3. Virtual Network

• Thiết lập VPN Site-to-Site:
  • Customer Gateway và Virtual Private Gateway: Cấu hình Customer Gateway với thông tin từ router on-premises và Virtual Private Gateway cho VPC để tạo kết nối VPN.
  • Routing: Thiết lập bảng định tuyến để định hướng lưu lượng từ mạng on-premises đến VPC và ngược lại.
• AWS Direct Connect:
  • Lợi ích: Direct Connect cung cấp đường kết nối vật lý giữa data center của bạn và AWS, đảm bảo tốc độ truyền dữ liệu cao và độ trễ thấp.
  • Setup: Cấu hình Direct Connect với Direct Connect Gateway để kết nối một hoặc nhiều VPC từ nhiều vùng khác nhau (multi-region).
• AWS Transit Gateway:
  • Thiết lập: Sử dụng Transit Gateway để kết nối nhiều VPC, kết nối với on-premises network hoặc với Direct Connect. Transit Gateway giúp đơn giản hóa và tối ưu hóa quản lý kết nối mạng.

4. Multi-AZ (Availability Zones)

• Thiết kế kiến trúc ứng dụng với Multi-AZ:
  • RDS Multi-AZ: Triển khai cơ sở dữ liệu Amazon RDS trong cấu hình Multi-AZ để đảm bảo failover tự động khi một AZ gặp sự cố.
  • Elastic Load Balancing (ELB): Cấu hình Application Load Balancer hoặc Network Load Balancer với tính năng Multi-AZ để phân phối lưu lượng giữa các AZ.
  • Auto Scaling Groups: Thiết lập Auto Scaling để đảm bảo ứng dụng có khả năng mở rộng và khả dụng cao trong các AZ khác nhau.
• Cross-region replication:
  • S3 Cross-Region Replication: Cấu hình S3 để tự động sao chép dữ liệu từ một bucket trong một region sang bucket trong một region khác để tăng cường khả năng khôi phục sau thảm họa.

5. AWS CLI (Command Line Interface)

• Cài đặt và cấu hình AWS CLI:
  • Cài đặt AWS CLI: Cài đặt AWS CLI trên hệ điều hành của bạn (Linux, macOS, Windows).
  • Cấu hình AWS CLI: Sử dụng aws configure để thiết lập Access Key ID, Secret Access Key, region mặc định, và định dạng đầu ra.
• Viết Scripts:
  • Automation Scripts: Viết scripts để tự động hóa các tác vụ như khởi tạo EC2 instances, tạo snapshots, và quản lý S3 buckets.
  • Advanced CLI Commands: Sử dụng các lệnh phức tạp hơn, như aws ec2 run-instances với các options chi tiết để triển khai instances với cấu hình tùy chỉnh.
• Tích hợp với CI/CD:
  • Jenkins hoặc GitLab CI: Tích hợp AWS CLI vào các pipelines CI/CD để tự động hóa quy trình triển khai ứng dụng, bao gồm việc build, test, và deploy trên AWS.

6. Bastion Host

• Thiết lập Bastion Host:
  • Launch Bastion Host: Khởi tạo Bastion Host trong subnet public với Security Group chỉ cho phép kết nối SSH từ địa chỉ IP cụ thể (như địa chỉ IP của bạn).
  • ProxyCommand: Sử dụng ProxyCommand trong SSH config để kết nối từ Bastion Host đến instances trong subnet private một cách bảo mật.
• Cải thiện bảo mật cho Bastion Host:
  • MFA và Session Manager: Sử dụng Multi-Factor Authentication (MFA) kết hợp với Session Manager để quản lý phiên truy cập mà không cần mở port SSH.
  • IAM Policies: Áp dụng IAM policies để giới hạn quyền truy cập của Bastion Host, đảm bảo chỉ những người được phép mới có thể kết nối.

7. WAF (Web Application Firewall)

• Cấu hình và quản lý AWS WAF:
  • WAF Rules: Tạo và cấu hình các rules để bảo vệ ứng dụng web khỏi các cuộc tấn công phổ biến như SQL Injection, XSS, và DDoS.
  • Rule Groups: Sử dụng AWS Managed Rules hoặc tạo custom rule groups để dễ dàng quản lý và áp dụng các chính sách bảo mật.
• Tích hợp với các dịch vụ khác:
  • CloudFront và WAF: Tích hợp WAF với CloudFront để bảo vệ nội dung tĩnh và động được phân phối trên toàn cầu.
  • ALB và WAF: Tích hợp WAF với Application Load Balancer để bảo vệ các ứng dụng web nằm phía sau ALB khỏi các cuộc tấn công.

8. Security Best Practices

• Identity and Access Management (IAM):
  • Least Privilege: Áp dụng nguyên tắc ít quyền nhất để đảm bảo mỗi người dùng, role, và dịch vụ chỉ có quyền truy cập tối thiểu cần thiết để thực hiện công việc của mình.
  • MFA và IAM Policies: Kích hoạt MFA cho tất cả các tài khoản và sử dụng IAM policies chi tiết để kiểm soát truy cập.
• Encryption:
  • S3 Bucket Encryption: Sử dụng Server-Side Encryption (SSE) để mã hóa dữ liệu trong S3 buckets.
  • Key Management Service (KMS): Sử dụng AWS KMS để quản lý và kiểm soát việc mã hóa dữ liệu trong các dịch vụ như EBS, S3, và RDS.
• Monitoring and Logging:
  • CloudTrail: Sử dụng AWS CloudTrail để theo dõi và log tất cả các API calls đến AWS account của bạn.
  • CloudWatch: Cấu hình CloudWatch Alarms để nhận cảnh báo khi có sự cố bất thường xảy ra, ví dụ như CPU Usage cao, hoặc lỗi hệ thống.

9. Use Case Scenarios & Real-world Applications

• Triển khai ứng dụng thực tế:
  • Multi-Tier Architecture: Thiết kế và triển khai ứng dụng với frontend, backend, và database, mỗi phần nằm trong một subnet riêng biệt và được bảo vệ bằng Security Groups và NACLs.
  • CI/CD Pipelines: Sử dụng CodePipeline, CodeBuild, và CodeDeploy để triển khai ứng dụng từ nguồn code đến production trên AWS.
• Xử lý sự cố và Tối ưu hóa:
  • Troubleshooting Network Issues: Phân tích và xử lý các vấn đề liên quan đến kết nối mạng, như VPC Peering không hoạt động, hoặc vấn đề route table.
  • Performance Tuning: Tối ưu hóa hiệu suất hệ thống bằng cách cấu hình Auto Scaling, tối ưu hóa truy vấn cơ sở dữ liệu, và sử dụng caching với CloudFront và ElastiCache.

Hãy thực hành nhiều bạn nhé!