Вопросы на собеседовании: Облачный архитектор

План адресов VPC задаёт непересекающиеся CIDR-диапазоны с запасом для текущих и будущих подсетей.

• План должен учитывать зоны доступности, окружения, уровни нагрузок и ожидаемый рост.
• Диапазоны не должны пересекаться с сетями, которые будут подключены через peering, transit routing, VPN или частные каналы.
• Документированная схема выделения IP упрощает агрегацию маршрутов, диагностику и дальнейшее расширение.

Подсети делят адресное пространство VPC, а таблицы маршрутов определяют доступные направления трафика каждой подсети.

• Каждая подсеть связана с таблицей, содержащей локальный маршрут VPC и дополнительные направления.
• Маршрут к internet gateway делает интернет-маршрутизацию возможной для ресурсов публичной подсети с подходящими адресами.
• Частные подсети обычно отправляют исходящий трафик через NAT и не дают базам или внутренним сервисам прямого маршрута в интернет.

Security groups представляют stateful-контроль на уровне ресурса, а network ACL представляют stateless-контроль на уровне подсети.

• Security group автоматически разрешает ответный трафик для допустимого соединения и содержит разрешающие правила.
• Network ACL отдельно проверяет входящие и исходящие правила по номеру и может явно разрешать или запрещать трафик.
• Security groups служат основной границей нагрузки, а ACL добавляют грубые ограничения подсети.

VPC peering создаёт связь по частным IP между двумя VPC через сеть провайдера.

• Маршруты нужно добавить с обеих сторон, а средства безопасности должны разрешать нужный трафик.
• Peering не поддерживает пересекающиеся CIDR и транзитную маршрутизацию через третью VPC.
• Большими peering-сетями сложно управлять, потому что каждой нужной паре VPC требуются отдельная связь и маршруты.

AWS Transit Gateway предоставляет региональный узел маршрутизации между множеством VPC и локальных сетей.

• Подключения VPC, VPN и Direct Connect соединяются с узлом вместо построения полной сетки.
• Таблицы маршрутов Transit Gateway могут сегментировать подключения и управлять доступностью сетей друг для друга.
• Централизованная маршрутизация сокращает число связей, но адресный план и распространение маршрутов всё равно требуют управления.

AWS PrivateLink открывает сервис через частные interface endpoints без объединения сетей потребителя и провайдера.

• Провайдер публикует endpoint service, обычно за Network Load Balancer.
• Потребитель создаёт interface endpoints с частными IP-адресами в выбранных подсетях.
• Трафик остаётся в сети AWS, а диапазоны VPC могут пересекаться, поскольку полная двусторонняя маршрутизация не создаётся.

Internet gateway обеспечивает прямую интернет-маршрутизацию VPC, а NAT gateway позволяет частным IPv4-ресурсам создавать исходящие соединения с преобразованием адресов.

• Публичному ресурсу нужны маршрут к internet gateway, публичный адрес и подходящие правила безопасности.
• Частные ресурсы отправляют IPv4-трафик в интернет через NAT gateway в публичной подсети.
• NAT gateway не принимает незапрошенные входящие соединения, созданные из интернета.

Site-to-site VPN шифрует трафик поверх публичного интернета, а выделенное подключение использует частный канал провайдера.

• VPN быстрее подключить, и он часто служит резервным или менее нагруженным гибридным соединением.
• AWS Direct Connect и Google Cloud Interconnect дают более предсказуемые пропускную способность и задержку, чем интернет-маршруты.
• Выделенным линиям всё равно нужны резервные каналы, продуманная маршрутизация и часто VPN для шифрования или резерва.

Частная DNS-зона разрешает выбранные доменные имена только для связанных частных сетей.

• Она сопоставляет внутренние имена сервисов с частными адресами или endpoints, не публикуя их в публичном DNS.
• Привязки или правила пересылки расширяют разрешение имён между VPC, проектами и гибридными сетями.
• Split-horizon DNS может возвращать разные записи одного имени в зависимости от частного или публичного источника запроса.

Gateway endpoints добавляют маршруты к поддерживаемым сервисам AWS, а interface endpoints создают частные сетевые интерфейсы на основе PrivateLink.

• Gateway endpoints поддерживают Amazon S3 и DynamoDB и не требуют NAT для подходящего трафика.
• Interface endpoints предоставляют частные IP и DNS для многих сервисов AWS и пользовательских endpoint services.
• Endpoint policies, security groups там, где они применимы, маршрутизация и private DNS управляют доступными операциями сервиса.

Объектное, блочное и файловое хранилища предоставляют разные модели данных и интерфейсы доступа.

• Объектное хранилище использует объекты с доступом по API и метаданными и подходит для медиа, резервных копий, логов и озёр данных.
• Блочное хранилище предоставляет тома одному или нескольким поддерживаемым вычислительным инстансам для файловых систем и баз.
• Файловое хранилище предоставляет общие иерархические файлы по протоколам вроде NFS или SMB.

Уровни объектного хранения тарифицируют хранение данных с учётом частоты доступа, способа извлечения и ожидаемого срока.

• Уровни частого доступа имеют более высокую стоимость хранения и немедленный доступ, а архивные уровни снижают стоимость с ограничениями извлечения.
• Lifecycle policies перемещают объекты между уровнями или удаляют их по возрасту и метаданным.
• Минимальный срок, плата за извлечение и запросы и время восстановления влияют на реальную стоимость холодных уровней.

Версионирование сохраняет редакции объектов, а межрегиональная репликация копирует подходящие объекты в бакет другого региона.

• Версионирование помогает восстановиться после случайной перезаписи или удаления, но увеличивает объём хранения.
• Репликация создаёт отдельную региональную копию для локальности, требований или целей восстановления.
• Репликации нужны права, версионирование, мониторинг и явная обработка существующих объектов и удаления.

Снимок блочного хранилища сохраняет состояние тома на определённый момент в управляемом долговечном хранилище провайдера.

• Облачные снимки обычно инкрементальны, поэтому последующие снимки хранят изменённые блоки, оставаясь независимо восстанавливаемыми.
• Восстановление создаёт новый том, а производительность первых чтений может отличаться, пока блоки не будут загружены.
• Для согласованного снимка приложения нужна координация с файловой системой или базой, а не только crash-consistent образ тома.

Amazon CloudFront отдаёт кешируемый контент через распределённые пограничные узлы перед origin.

• Ключ кеша обычно включает путь и выбранные query strings, заголовки или cookie.
• TTL и заголовки cache-control определяют свежесть, а invalidation досрочно удаляет выбранные объекты.
• Origin Access Control позволяет оставить S3 origin частным, чтобы пользователи получали контент только через CloudFront.

RDS Multi-AZ повышает доступность, а read replicas прежде всего добавляют ёмкость чтения и отдельные копии.

• Стандартный Multi-AZ deployment синхронно поддерживает standby для управляемого переключения, а не для чтения приложением.
• Read replicas получают изменения асинхронно и могут обслуживать чтение с возможной задержкой репликации.
• Резервные копии всё равно нужны, поскольку репликация может перенести случайные изменения или повреждение в другую копию базы.

Amazon Aurora отделяет вычислительные инстансы базы от распределённого тома хранения, реплицируемого между зонами доступности.

• Слой хранения поддерживает несколько копий в трёх зонах и автоматически растёт в пределах лимитов сервиса.
• Writer и reader instances подключаются к общему тому кластера вместо отдельных полных копий хранилища.
• Cluster endpoints и replica endpoints направляют соединения по ролям записи и чтения.

DynamoDB использует ключ партиционирования для распределения элементов и маршрутизации запросов по внутренним разделам.

• Ключи с высокой кардинальностью и равномерным доступом лучше распределяют хранение и пропускную способность.
• Небольшой набор очень популярных ключей создаёт горячие разделы, даже если общей ёмкости таблицы достаточно.
• Составной первичный ключ добавляет sort key и позволяет хранить несколько упорядоченных элементов для одного значения partition key.

BigQuery представляет управляемое аналитическое хранилище данных для масштабных SQL-запросов по колоночным данным.

• Вычисления отделены от управляемого хранилища, поэтому аналитика масштабируется без администрирования серверов базы.
• Колоночное хранение и распределённое выполнение подходят для сканирования, агрегации, отчётности и анализа данных.
• Партиционирование, кластеризация и ограничение сканируемых столбцов уменьшают объём работы и стоимость запросов.

Автоматические резервные копии и журналы транзакций позволяют восстановить управляемую базу на выбранный момент в пределах срока хранения.

• Плановые снимки дают базовые копии, а журналы фиксируют изменения между ними.
• Point-in-time recovery во многих сервисах создаёт восстановленную базу, а не перематывает работающий инстанс на месте.
• Срок хранения, ключи шифрования, межрегиональные копии и тесты восстановления определяют соответствие требованиям.