Glossário
35 termos da trilha de AWS Solutions Architect Associate, cada um com o tema onde ele é explicado por inteiro.
- Aurora
- Banco compatível com MySQL e PostgreSQL em que o armazenamento é uma camada compartilhada, com seis cópias em três zonas, separada das instâncias de computação.
- Bancos resilientes: Multi-AZ, réplicas de leitura e tabelas globais
- CloudTrail
- Registro de auditoria: cada chamada de API na conta, com identidade, origem, horário e parâmetros. É a resposta para toda pergunta que começa com "quem".
- Detecção e auditoria: CloudTrail, Config, GuardDuty e Security Hub
- Compute Optimizer
- Serviço que analisa métricas reais de uso e recomenda tipo e tamanho para instâncias EC2, grupos de Auto Scaling, volumes EBS e funções Lambda.
- Dimensionamento correto e custo de armazenamento
- Config
- Inventário e histórico de configuração dos recursos, avaliado contra regras (conforme ou não), com remediação automática opcional. É a resposta para "como está" e "está conforme".
- Detecção e auditoria: CloudTrail, Config, GuardDuty e Security Hub
- criptografia de envelope
- A chave do KMS não cifra o dado; cifra uma chave de dados, que cifra o dado. O KMS só manipula chaves pequenas, e o dado grande nunca sai do serviço onde está.
- Proteção de dados: KMS, criptografia e segredos
- DAX
- Cache em memória gerenciado, exclusivo do DynamoDB, compatível com a mesma API. Reduz leituras de milissegundos para microssegundos sem alterar o código da aplicação.
- Cache e entrega de conteúdo: CloudFront, ElastiCache e DAX
- Direct Connect
- Conexão dedicada entre o data center e a AWS, sem passar pela internet, com banda consistente e latência previsível. Provisão leva semanas ou meses, e não é criptografada por padrão.
- Rede de alto desempenho e conectividade híbrida
- Fargate
- Modo de execução sem servidor para containers. Não é orquestrador: tanto o ECS quanto o EKS podem rodar suas tarefas em Fargate, deixando de gerenciar as instâncias que as hospedam.
- Computação: famílias EC2, containers e serverless
- faturamento consolidado
- Uma fatura para toda a organização. Soma o uso de todas as contas, o que ajuda a alcançar faixas de preço menores, e compartilha instâncias reservadas e Savings Plans entre elas.
- Ferramentas de custo e governança financeira
- Firewall Manager
- Serviço que aplica políticas de WAF, Shield Advanced, grupos de segurança e Network Firewall em todas as contas do Organizations, inclusive nas criadas depois.
- Proteção de borda: WAF, Shield e Firewall Manager
- grupo de Auto Scaling
- Conjunto de instâncias criado a partir de um modelo de lançamento, com capacidade mínima, desejada e máxima, distribuído pelas sub-redes informadas.
- Balanceamento de carga e Auto Scaling
- grupo de segurança
- Firewall da instância (na verdade, da interface de rede): só regras de permitir, com estado, todas as regras avaliadas. É o controle padrão da prova.
- Segurança de rede na VPC
- GuardDuty
- Detecção de ameaças: analisa continuamente CloudTrail, VPC Flow Logs e logs de DNS com inteligência de ameaças e aprendizado de máquina. Sem agente.
- Detecção e auditoria: CloudTrail, Config, GuardDuty e Security Hub
- identity pool
- Troca um token de identidade por credenciais temporárias da AWS, com uma role. Aceita usuários autenticados e, opcionalmente, convidados.
- Usuários de aplicação e acesso a APIs: Cognito, API Gateway e acesso privado
- Inspector
- Varredura de vulnerabilidades: procura CVEs conhecidas e exposição de rede em instâncias EC2, imagens no ECR e funções Lambda.
- Detecção e auditoria: CloudTrail, Config, GuardDuty e Security Hub
- KMS
- AWS Key Management Service: cria e guarda chaves de criptografia e registra cada uso delas. Os serviços da AWS usam o KMS para criptografar em repouso.
- Proteção de dados: KMS, criptografia e segredos
- limite de permissão
- Permissions boundary: política anexada a um usuário ou role que define o teto do que ele pode receber. A permissão efetiva é a interseção com a política de identidade.
- IAM além do básico
- NACL
- Network ACL: firewall da sub-rede, sem estado, com regras de permitir e negar avaliadas em ordem numérica. É a resposta para bloquear IP e para defesa em profundidade.
- Segurança de rede na VPC
- região
- Área geográfica com várias zonas de disponibilidade, como sa-east-1 (São Paulo). Você escolhe a região por latência, custo, serviços disponíveis e exigência legal de onde o dado mora.
- Alta disponibilidade e tolerância a falhas
- registro de alias
- Registro exclusivo do Route 53 que aponta para um recurso da AWS (ELB, CloudFront, site em S3, API Gateway) pelo nome do serviço, funciona na raiz da zona e não é cobrado por consulta.
- Route 53: políticas de roteamento e failover
- RPO
- Recovery Point Objective: o ponto no passado a que se volta — na prática, quanto trabalho se perde. Olha para trás.
- Estratégias de recuperação de desastres: RTO, RPO e as quatro opções
- RTO
- Recovery Time Objective: o tempo máximo aceitável entre o desastre e o serviço de volta. Olha para a frente.
- Estratégias de recuperação de desastres: RTO, RPO e as quatro opções
- SCP
- Service control policy: política do Organizations que define o máximo que qualquer identidade de uma conta pode fazer, inclusive o root. Não concede nada; só limita.
- IAM além do básico
- Shield
- Proteção contra DDoS. O Standard é automático e gratuito; o Advanced acrescenta equipe de resposta, proteção contra o custo gerado pelo ataque e detecção mais fina.
- Proteção de borda: WAF, Shield e Firewall Manager
- SNS
- Tópico de publicação e assinatura. Uma mensagem chega a todos os assinantes: filas, funções, endpoints HTTP, e-mail, SMS.
- Desacoplamento: SQS, SNS e EventBridge
- Spot
- Capacidade ociosa vendida com desconto alto, que a AWS pode retomar avisando dois minutos antes. Serve carga que pode ser interrompida e retomada.
- Modelos de preço: sob demanda, reservada, Savings Plans e Spot
- SQS
- Fila gerenciada. O produtor publica, a mensagem fica retida, o consumidor lê, processa e apaga. Absorve picos e isola ritmos.
- Desacoplamento: SQS, SNS e EventBridge
- tabela global
- Replicação ativa em várias regiões: escreve-se e lê-se em qualquer uma delas, com resolução de conflito pelo último escritor.
- Bancos resilientes: Multi-AZ, réplicas de leitura e tabelas globais
- Trusted Advisor
- Conjunto de checagens automáticas sobre a conta, entre elas as de otimização de custo, que apontam recursos ociosos e órfãos.
- Dimensionamento correto e custo de armazenamento
- user pool
- Diretório de usuários da aplicação. Faz cadastro, login, MFA e emite tokens JWT. Não dá acesso a serviços da AWS por si.
- Usuários de aplicação e acesso a APIs: Cognito, API Gateway e acesso privado
- verificação de integridade
- Teste periódico que o balanceador faz em cada alvo. Ao falhar o limiar configurado, o alvo sai da rotação e deixa de receber tráfego.
- Balanceamento de carga e Auto Scaling
- verificação de integridade do Route 53
- Teste periódico, feito de vários pontos do mundo, contra um endereço, um alarme do CloudWatch ou outras verificações combinadas. Registros associados a uma verificação que falha deixam de ser devolvidos.
- Route 53: políticas de roteamento e failover
- VPN site a site
- Túnel criptografado sobre a internet. Sobe em horas, custa pouco e herda a variabilidade da internet pública.
- Rede de alto desempenho e conectividade híbrida
- WAF
- Web Application Firewall: inspeciona requisições HTTP e HTTPS e aplica regras de permitir, bloquear ou contar. Trabalha com Web ACLs anexadas a CloudFront, ALB, API Gateway, AppSync ou Cognito.
- Proteção de borda: WAF, Shield e Firewall Manager
- zona de disponibilidade
- Um ou mais data centers dentro de uma região, com energia, refrigeração e rede independentes. Separados o bastante para um desastre local não atingir dois; próximos o bastante para replicação síncrona.
- Alta disponibilidade e tolerância a falhas