מעבדה מעשית — SAA-C03 AWS Certified Solutions Architect Associate

סקירה כללית

דרישות קדם

שלבים

1. 1.בחרו את גרסת ה-Terraform ואזור ה-AWS שלנו

   אנו מצמידים את ספק AWS ל-~> 5.60 ובוחרים ב-us-east-1 (כל אזור עם לפחות שני אזורי זמינות יעבוד). בלוק ה-data מאחזר את רשימת אזורי הזמינות הזמינים בזמן התכנון — קידוד שמות אזורי זמינות כמו us-east-1a הוא אנטי-תבנית ב-SAA-C03 מכיוון שמיפוי שם אזור זמינות לאזור פיזי הוא ספציפי לחשבון (ה-us-east-1a שלכם עשוי להיות אזור פיזי שונה משלי).

   כל המשאבים שאנו יוצרים בהמשך מתויגים חזרה לשם פרויקט יחיד באמצעות default_tags — גם Cost Explorer וגם חוקי AWS Config פועלים על תגים, והבחינה מצפה שתתייגו הכל.

   העתק

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-saa-c03"
         ManagedBy = "terraform"
       }
     }
   }
   
   data "aws_availability_zones" "available" {
     state = "available"
   }

2. 2.בנו VPC רב-אזורי עם תתי-רשת ציבוריים ופרטיים

   משאבים:

   • Amazon VPC

   כל שאלת זמינות גבוהה ב-SAA-C03 מניחה שתפרסו את העומס על פני לפחות שני אזורי זמינות. אנו יוצרים VPC בנפח /16 וחותכים ארבעה תתי-רשת בנפח /20 — שניים ציבוריים (עבור ה-ALB), ושניים פרטיים (עבור מופעי ה-EC2 וה-RDS). שער האינטרנט מתחבר ל-VPC; טבלת הניתוב הציבורית שולחת 0.0.0.0/0 דרכו.

   התתי-רשתות הפרטיות בכוונה אינן מכילות שער NAT במעבדה זו — שערי NAT מחייבים כ-$32 לחודש במצב סרק (לכל AZ) ו-SAA-C03 בודק במפורש את הוויתור הזה בשאלות על עלויות. אם היישום שלכם היה זקוק לאינטרנט יוצא מתתי-רשתות פרטיות בייצור, הייתם מוסיפים NAT (או מופע NAT, החלופה הזולה יותר ב-SAA-C03).

   ה-VPC + תתי-רשתות + IGW + טבלת ניתוב משלב זה הם הבסיס לכל מה שיבוא אחר כך — ה-ALB מתחבר לתתי-הרשתות הציבוריות, מופעי ה-ASG חיים בתתי-הרשתות הפרטיות, וקבוצת תתי-הרשתות של RDS בשלב 5 מתפרסת על פני שני ה-AZs הפרטיים.

   העתק

   resource "aws_vpc" "main" {
     cidr_block           = "10.0.0.0/16"
     enable_dns_hostnames = true
   
     tags = { Name = "certlabpro-saa-c03-vpc" }
   }
   
   resource "aws_subnet" "public" {
     count                   = 2
     vpc_id                  = aws_vpc.main.id
     cidr_block              = "10.0.${count.index}.0/24"
     availability_zone       = data.aws_availability_zones.available.names[count.index]
     map_public_ip_on_launch = true
   
     tags = { Name = "certlabpro-saa-c03-public-${count.index}" }
   }
   
   resource "aws_subnet" "private" {
     count             = 2
     vpc_id            = aws_vpc.main.id
     cidr_block        = "10.0.${count.index + 10}.0/24"
     availability_zone = data.aws_availability_zones.available.names[count.index]
   
     tags = { Name = "certlabpro-saa-c03-private-${count.index}" }
   }
   
   resource "aws_internet_gateway" "main" {
     vpc_id = aws_vpc.main.id
   }
   
   resource "aws_route_table" "public" {
     vpc_id = aws_vpc.main.id
   
     route {
       cidr_block = "0.0.0.0/0"
       gateway_id = aws_internet_gateway.main.id
     }
   }
   
   resource "aws_route_table_association" "public" {
     count          = 2
     subnet_id      = aws_subnet.public[count.index].id
     route_table_id = aws_route_table.public.id
   }

3. 3.קדמו את הערימה עם ALB פונה לאינטרנט המשתרע על פני שני אזורי הזמינות

   משאבים:

   • Elastic Load Balancing

   Application Load Balancer (ALB) הוא איזון העומסים ש-SAA-C03 מצפה מכם לבחור בכל פעם שהשאלה מציינת "HTTP / HTTPS" או "ניתוב מבוסס נתיב" או "מיקוד שירות ספציפי". Network Load Balancers מטפלים ב-TCP/UDP ובזמני השהיה נמוכים במיוחד; Classic הוא מורשת. ALB הוא הפתרון.

   ה-ALB שוכן בשני התתי-רשתות הציבוריות משלב 2 — זו המשמעות המבנית של "רב-אזורי" (multi-AZ). קבוצת האבטחה שלו מקבלת HTTP (פורט 80) מכל מקום; קבוצת היעד תקבל את חבריה מה-ASG שאנו יוצרים בשלב 4. בדיקת התקינות היא החוזה בין ה-ALB ליעד — אם / מחזיר משהו שאינו 200, ה-ALB מפסיק לשלוח תעבורה למופע זה.

   אין HTTPS במעבדה זו — זה דורש תעודת ACM ושם DNS, שהם שני שירותים נוספים שאינם נחוצים לנו כדי להציג את תבנית ה-HA. הוסיפו ACM בייצור.

   העתק

   resource "aws_security_group" "alb" {
     name        = "certlabpro-saa-c03-alb"
     description = "ALB ingress on port 80 from the internet"
     vpc_id      = aws_vpc.main.id
   
     ingress {
       from_port   = 80
       to_port     = 80
       protocol    = "tcp"
       cidr_blocks = ["0.0.0.0/0"]
     }
   
     egress {
       from_port   = 0
       to_port     = 0
       protocol    = "-1"
       cidr_blocks = ["0.0.0.0/0"]
     }
   }
   
   resource "aws_lb" "web" {
     name               = "certlabpro-saa-c03-alb"
     load_balancer_type = "application"
     internal           = false
     subnets            = aws_subnet.public[*].id
     security_groups    = [aws_security_group.alb.id]
   }
   
   resource "aws_lb_target_group" "web" {
     name        = "certlabpro-saa-c03-tg"
     port        = 80
     protocol    = "HTTP"
     target_type = "instance"
     vpc_id      = aws_vpc.main.id
   
     health_check {
       path                = "/"
       matcher             = "200-299"
       interval            = 30
       timeout             = 5
       healthy_threshold   = 2
       unhealthy_threshold = 3
     }
   }
   
   resource "aws_lb_listener" "http" {
     load_balancer_arn = aws_lb.web.arn
     port              = 80
     protocol          = "HTTP"
   
     default_action {
       type             = "forward"
       target_group_arn = aws_lb_target_group.web.arn
     }
   }

4. 4.הוסיפו קבוצת Auto Scaling בתתי-הרשתות הפרטיות מאחורי ה-ALB

   משאבים:

   • Amazon EC2 Auto Scaling

   Auto Scaling הוא עמוד ה"גמישות" של AWS Well-Architected והנושא השני הנבחן ביותר ב-SAA-C03 אחרי Multi-AZ. בשילוב עם ה-ALB משלב 3, ASG נותן לכם גם סבילות לתקלות (מופעים מוחלפים כשהם נכשלים) וגם סקלאביליות (מספר המופעים עוקב אחר הביקוש) — שתי התוצאות ש-SAA-C03 ממשיך לשאול עליהן.

   תבנית ההשקה מגדירה איך נראה כל מופע חדש. אנו משתמשים ב-AMI העדכני ביותר של Amazon Linux 2023, במופע t3.micro, בקבוצת האבטחה המקבילה לשלב 2 שמקבלת תעבורה רק מקבוצת האבטחה של ה-ALB (הרשאה מינימלית בשכבת הרשת), ובנתוני משתמש מינימליים שמפעילים את nginx כדי שבדיקת התקינות תעבור.

   ה-ASG קושר שלושה דברים יחד: היכן מופעים פועלים (vpc_zone_identifier = תתי-הרשתות הפרטיות שלנו, שני אזורי הזמינות), כמה מופעים צריכים להתקיים (min_size = 2, max_size = 4 — שניים ל-HA, מרווח לסקייל), וכיצד מופעים חדשים מצטרפים לאיזון העומסים (target_group_arns). כאשר ה-ASG משיק מופע, הוא נרשם אוטומטית בקבוצת היעד משלב 3.

   העתק

   resource "aws_security_group" "app" {
     name        = "certlabpro-saa-c03-app"
     description = "App instances accept traffic only from the ALB SG"
     vpc_id      = aws_vpc.main.id
   
     ingress {
       from_port       = 80
       to_port         = 80
       protocol        = "tcp"
       security_groups = [aws_security_group.alb.id]
     }
   
     egress {
       from_port   = 0
       to_port     = 0
       protocol    = "-1"
       cidr_blocks = ["0.0.0.0/0"]
     }
   }
   
   data "aws_ami" "al2023" {
     most_recent = true
     owners      = ["amazon"]
   
     filter {
       name   = "name"
       values = ["al2023-ami-*-kernel-6.1-x86_64"]
     }
   }
   
   resource "aws_launch_template" "app" {
     name_prefix   = "certlabpro-saa-c03-app-"
     image_id      = data.aws_ami.al2023.id
     instance_type = "t3.micro"
   
     vpc_security_group_ids = [aws_security_group.app.id]
   
     metadata_options {
       http_tokens = "required"
     }
   
     user_data = base64encode(<<-EOT
       #!/bin/bash
       dnf install -y nginx
       systemctl enable --now nginx
     EOT
     )
   }
   
   resource "aws_autoscaling_group" "app" {
     name                = "certlabpro-saa-c03-app-asg"
     vpc_zone_identifier = aws_subnet.private[*].id
     target_group_arns   = [aws_lb_target_group.web.arn]
     health_check_type   = "ELB"
     min_size            = 2
     max_size            = 4
     desired_capacity    = 2
   
     launch_template {
       id      = aws_launch_template.app.id
       version = "$Latest"
     }
   }

5. 5.הוסיפו בסיס נתונים Multi-AZ RDS שהיישום יוכל לתקשר איתו

   משאבים:

   • Amazon RDS

   גולת הכותרת של כל סיפור Multi-AZ ב-SAA-C03 היא בסיס נתונים Multi-AZ RDS. ההגדרה multi_az = true היא אחת התכונות הנבחנות ביותר בכל הבחינה: היא אומרת ל-RDS לספק רפליקת המתנה סינכרונית באזור זמינות שני. כאשר הראשי נכשל, RDS מקדם אוטומטית את מופע ההמתנה — מעבר כשל טיפוסי לוקח כ-60 שניות ללא אובדן נתונים. שני בסיסי נתונים של Single-AZ לא יתנו לכם זאת; שכפול ידני לא יתנו לכם זאת. Multi-AZ היא התשובה לכל שאלה על "מעבר כשל בפחות מדקה, אפס אובדן נתונים".

   קבוצת תתי-הרשת של בסיס הנתונים צריכה תתי-רשתות בלפחות שני אזורי זמינות — אנו מזינים לה את התתי-רשתות הפרטיות משלב 2. קבוצת האבטחה מקבלת את פורט בסיס הנתונים (5432 עבור PostgreSQL) רק מקבוצת האבטחה של היישום, מה שמשקף את תבנית האבטחה השכבתית משלב 4.

   עם השלמה זו, הערימה מוכנה: התעבורה נכנסת ל-ALB באחד מאזורי הזמינות הציבוריים, מתפשטת למופעי ה-ASG באחד מאזורי הזמינות הפרטיים, ומופעים אלו מדברים עם ה-RDS הראשי (שלו יש מופע המתנה חם הממתין באזור הזמינות השני). לכל דבר מלבד כשל אזורי מלא יש נתיב התאוששות.

   העתק

   resource "aws_db_subnet_group" "main" {
     name       = "certlabpro-saa-c03"
     subnet_ids = aws_subnet.private[*].id
   }
   
   resource "aws_security_group" "db" {
     name        = "certlabpro-saa-c03-db"
     description = "DB accepts traffic only from the app SG"
     vpc_id      = aws_vpc.main.id
   
     ingress {
       from_port       = 5432
       to_port         = 5432
       protocol        = "tcp"
       security_groups = [aws_security_group.app.id]
     }
   }
   
   resource "aws_db_instance" "main" {
     identifier             = "certlabpro-saa-c03"
     engine                 = "postgres"
     engine_version         = "16"
     instance_class         = "db.t3.micro"
     allocated_storage      = 20
     storage_encrypted      = true
     multi_az               = true # the SAA-C03 headline
     db_subnet_group_name   = aws_db_subnet_group.main.name
     vpc_security_group_ids = [aws_security_group.db.id]
   
     username = "appuser"
     password = "ChangeMe-Not-For-Prod-1234" # use Secrets Manager in production
   
     skip_final_snapshot = true # lab-only setting; never use on prod
     apply_immediately   = true
   }

ניקוי משאבים