0Pricing
Cloud & IT Cert Prep · บทเรียน

เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย

ใช้ IaC การเปลี่ยนแปลงขนาดเล็กที่ย้อนกลับได้ และคู่มือปฏิบัติงานสำหรับการดำเนินงาน ส่วนด้านความปลอดภัยให้ใช้หลักสิทธิ์น้อยที่สุด การปกป้องข้อมูล และการตอบสนองต่อเหตุการณ์

เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย เป็นบทเรียน Cloud & IT Cert Prep ฟรีบน CoddyKit นี่คือบทเรียนที่ 1 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cloud & IT Cert Prep และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cloud & IT Cert Prep มีบทเรียนทั้งหมด 4 บทเรียน

Well-Architected Framework

AWS Well-Architected Framework จัดเตรียมแนวปฏิบัติที่ดีที่สุดและคำถามชี้นำ เพื่อช่วยให้สถาปนิกสร้างโครงสร้างพื้นฐานคลาวด์ที่ปลอดภัย มีประสิทธิภาพสูง ทนทาน และใช้ทรัพยากรอย่างคุ้มค่า Framework นี้แบ่งออกเป็นหกเสาหลัก: Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimisation และ Sustainability บทเรียนนี้ครอบคลุมสองเสาหลักแรก ข้อสอบ SAA-C03 มักถามว่า design principle ที่กำหนดอยู่ในเสาหลักใด ดังนั้นการทำความเข้าใจแต่ละเสาหลักอย่างชัดเจนจึงเป็นสิ่งสำคัญ

# Six Pillars of the Well-Architected Framework:
# 1. Operational Excellence
# 2. Security
# 3. Reliability
# 4. Performance Efficiency
# 5. Cost Optimisation
# 6. Sustainability

# Each pillar has:
# - Design principles (practices to adopt)
# - Questions (evaluation criteria)
# - Best practices (specific implementation guidance)

Operational Excellence: หลักการออกแบบสำคัญ

เสาหลัก Operational Excellence มุ่งเน้นการทำงานและการตรวจสอบระบบเพื่อส่งมอบคุณค่าทางธุรกิจ พร้อมทั้งปรับปรุงกระบวนการอย่างต่อเนื่อง หลักการออกแบบสำคัญ ได้แก่ ดำเนินการปฏิบัติงานในรูปแบบโค้ด — ใช้ CloudFormation, CDK หรือ Systems Manager เพื่อทำให้โครงสร้างพื้นฐานและงานปฏิบัติการเป็นอัตโนมัติ สร้างการเปลี่ยนแปลงเล็ก ๆ ที่เกิดขึ้นบ่อยและย้อนกลับได้ — นำระบบไปใช้งานทีละส่วนเล็ก ๆ ซึ่งสามารถย้อนกลับได้ คาดการณ์ความล้มเหลว — ออกแบบและฝึกกู้คืนจากความล้มเหลว เรียนรู้จากความล้มเหลวในการปฏิบัติงาน — จัดการทบทวนเหตุการณ์หลังเกิดปัญหาและปรับปรุงระบบ

# CloudFormation: operations as code
aws cloudformation create-stack \
  --stack-name my-app-stack \
  --template-url s3://my-bucket/template.yaml \
  --parameters ParameterKey=Env,ParameterValue=prod

# Rollback on failure is automatic
# Small, reversible change: deploy a new AMI
aws autoscaling start-instance-refresh \
  --auto-scaling-group-name my-asg \
  --preferences MinHealthyPercentage=90

Infrastructure as Code สำหรับงานปฏิบัติการ

การปฏิบัติต่อโครงสร้างพื้นฐานเสมือนเป็นโค้ด หมายความว่าสภาพแวดล้อมทั้งหมดของคุณ — VPCs, EC2 instances, RDS databases และ IAM roles — ถูกกำหนดไว้ในเทมเพลตที่ควบคุมเวอร์ชัน ซึ่งสามารถตรวจทาน ทดสอบ และนำไปใช้งานได้อย่างสม่ำเสมอ AWS CloudFormation เป็นบริการ IaC ในตัวที่มีการตรวจจับการเปลี่ยนแปลงจากค่าที่กำหนดและชุดการเปลี่ยนแปลง AWS CDK ช่วยให้คุณเขียนโครงสร้างพื้นฐานด้วยภาษาการเขียนโปรแกรมที่คุ้นเคย (Python, TypeScript) AWS Systems Manager Automation เปลี่ยนคู่มือปฏิบัติงาน (เช่น การติดตั้งแพตช์และสแนปช็อต) ให้เป็นเอกสารที่สั่งทำงานได้

# CloudFormation change set: preview before applying
aws cloudformation create-change-set \
  --stack-name my-app-stack \
  --change-set-name update-instance-type \
  --template-url s3://my-bucket/updated-template.yaml

# Review the change set
aws cloudformation describe-change-set \
  --stack-name my-app-stack \
  --change-set-name update-instance-type

# Execute after review
aws cloudformation execute-change-set \
  --change-set-name update-instance-type \
  --stack-name my-app-stack

การสังเกตระบบเพื่อ Operational Excellence

คุณไม่สามารถปรับปรุงสิ่งที่มองไม่เห็นได้ Operational Excellence จึงต้องอาศัยความสามารถในการสังเกตระบบ: metrics, บันทึก และร่องรอยการทำงานที่ช่วยให้เข้าใจพฤติกรรมของระบบ บน AWS หมายถึงการใช้ CloudWatch Metrics สำหรับจุดข้อมูลเชิงตัวเลข CloudWatch Logs สำหรับรวบรวมและวิเคราะห์บันทึก AWS X-Ray สำหรับติดตามการทำงานแบบกระจายข้ามไมโครเซอร์วิส และ CloudWatch Dashboards สำหรับมองเห็นการทำงานแบบเรียลไทม์ กำหนดตัวชี้วัดประสิทธิภาพหลักด้านธุรกิจและเทคนิค และวัดผลอย่างต่อเนื่องเพื่อทำความเข้าใจว่าคุณบรรลุเป้าหมายด้านการปฏิบัติงานเมื่อใด

# Enable X-Ray tracing on Lambda
aws lambda update-function-configuration \
  --function-name my-function \
  --tracing-config Mode=Active

# X-Ray service map shows:
# - Which services are called
# - Response time percentiles
# - Error rates
# - Downstream dependencies
# Helps identify bottlenecks and failure points

คู่มือปฏิบัติงานและคู่มือรับมือเหตุการณ์

Runbooks คือขั้นตอนการปฏิบัติงานแบบทีละขั้นสำหรับงานประจำ (เช่น การนำเวอร์ชันใหม่ไปใช้งานและการเพิ่มขนาดเพื่อรองรับทราฟฟิก) Playbooks คือขั้นตอนสำหรับรับมือเหตุการณ์ (เช่น การสลับฐานข้อมูลและการละเมิดความปลอดภัย) AWS Systems Manager Run Command และ Automation ช่วยให้คุณสั่งทำงานตามคู่มือโดยใช้โปรแกรมได้กับกลุ่ม EC2 ทั้งหมด จัดเก็บคู่มือไว้ในการควบคุมเวอร์ชัน ตรวจทานเป็นประจำ และนำไปใช้ในการซ้อม เพื่อให้วิศวกรเวรปฏิบัติการคุ้นเคยกับขั้นตอนเหล่านี้ก่อนเกิดเหตุการณ์

# Systems Manager Automation: execute runbook
aws ssm start-automation-execution \
  --document-name 'AWS-RestartEC2Instance' \
  --parameters InstanceId=i-1234567890abcdef0

# Custom automation document for patching runbook
aws ssm create-document \
  --name 'PatchAndRestart' \
  --document-type Automation \
  --content file://patch-runbook.json

เสาหลัก Security: หลักการออกแบบสำคัญ

เสาหลัก Security มุ่งเน้นการปกป้องข้อมูล ระบบ และทรัพย์สิน หลักการสำคัญในการออกแบบมีดังนี้: สร้างรากฐานด้านอัตลักษณ์ที่แข็งแกร่ง — ใช้ IAM ตามหลักสิทธิ์เท่าที่จำเป็นน้อยที่สุด และกำจัดข้อมูลรับรองระยะยาว เปิดใช้ความสามารถในการตรวจสอบย้อนกลับ — บันทึกและตรวจสอบทุกการดำเนินการ ใช้การรักษาความปลอดภัยในทุกชั้น — ไม่ใช่เฉพาะขอบเขตระบบ แต่รวมถึงชั้นเครือข่าย การประมวลผล ข้อมูล และแอปพลิเคชัน ปกป้องข้อมูลทั้งขณะส่งและขณะจัดเก็บ — เข้ารหัสทุกอย่าง ทำให้แนวทางปฏิบัติด้านความปลอดภัยเป็นแบบอัตโนมัติ — ใช้กฎของ Config และ Security Hub เพื่อประเมินอย่างต่อเนื่อง

# Security at all layers (defence in depth):
# Edge:         AWS WAF + Shield
# Network:      VPC, Security Groups, NACLs
# Compute:      Security Groups, SSM Patch Manager
# Application:  API Gateway authorizers, Cognito
# Data:         KMS encryption, S3 bucket policies
# Identity:     IAM least-privilege, MFA, roles
# Audit:        CloudTrail, AWS Config, Security Hub

สิทธิ์เท่าที่จำเป็นน้อยที่สุดและแนวทางปฏิบัติที่ดีที่สุดของ IAM

สิทธิ์เท่าที่จำเป็นน้อยที่สุด หมายถึงการให้สิทธิ์เพียงขั้นต่ำที่จำเป็นสำหรับงานหนึ่ง ๆ เท่านั้น — ไม่มากกว่านั้น ในทางปฏิบัติ ให้ใช้ บทบาทของ IAM แทนคีย์การเข้าถึงระยะยาวสำหรับบริการต่าง ๆ ใช้ ขอบเขตสิทธิ์ เพื่อจำกัดสิ่งที่บทบาทหนึ่งสามารถมอบให้แก่บทบาทอื่นได้ ใช้ นโยบายควบคุมบริการ (SCPs) ใน AWS Organizations เพื่อกำหนดกรอบควบคุมให้ครอบคลุมทุกบัญชี ตรวจสอบสิทธิ์เป็นประจำด้วย IAM Access Analyzer เพื่อค้นหานโยบายที่เปิดกว้างเกินไป หมุนเวียนคีย์การเข้าถึงและเปิดใช้ MFA สำหรับผู้ใช้ที่เป็นบุคคลทั้งหมด

# IAM Access Analyzer to find overly permissive policies
aws accessanalyzer create-analyzer \
  --analyzer-name my-analyzer \
  --type ACCOUNT

# List findings (e.g., S3 bucket accessible externally)
aws accessanalyzer list-findings \
  --analyzer-arn arn:aws:access-analyzer:us-east-1:123:analyzer/my-analyzer

# Check unused permissions
aws iam generate-service-last-accessed-details \
  --arn arn:aws:iam::123:role/MyRole

การเข้ารหัส: ข้อมูลขณะจัดเก็บและขณะส่ง

เสาหลัก Security กำหนดให้เข้ารหัสข้อมูลทั้ง ขณะจัดเก็บ และ ขณะส่ง สำหรับข้อมูลขณะจัดเก็บ ให้เปิดใช้ การเข้ารหัสของ KMS กับบักเก็ต S3, โวลุม EBS, RDS, DynamoDB และ EFS ใช้ คีย์ที่ลูกค้าจัดการเอง (CMK) สำหรับเวิร์กโหลดที่มีความละเอียดอ่อนและต้องการควบคุมการหมุนเวียนคีย์ สำหรับข้อมูลขณะส่ง ให้บังคับใช้ TLS 1.2+ กับปลายทาง API ทั้งหมด (ALB, API Gateway) ใช้ ใบรับรองของ ACM และกำหนดนโยบายความปลอดภัยให้ปฏิเสธชุดรหัสลับที่ไม่ปลอดภัย ห้ามส่งข้อมูลรับรองหรือข้อมูลที่มีความละเอียดอ่อนในรูปแบบข้อความธรรมดาโดยเด็ดขาด

# Enforce HTTPS-only on S3 bucket
aws s3api put-bucket-policy \
  --bucket my-sensitive-bucket \
  --policy '{
    "Statement": [{
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": "arn:aws:s3:::my-sensitive-bucket/*",
      "Condition": {
        "Bool": {"aws:SecureTransport": "false"}
      }
    }]
  }'

การทำให้การตอบสนองต่อเหตุการณ์เป็นแบบอัตโนมัติ

การตอบสนองต่อเหตุการณ์ด้วยตนเองช้าเกินไปเมื่อเหตุการณ์ด้านความปลอดภัยเกิดขึ้นในระดับคลาวด์ เสาหลัก Security จึงเน้น การทำให้การตอบสนองต่อเหตุการณ์เป็นแบบอัตโนมัติ ตัวอย่างเช่น GuardDuty ตรวจพบอินสแตนซ์ EC2 ที่ถูกเจาะและกำลังเชื่อมต่อขาออกอย่างน่าสงสัย กฎของ EventBridge จะเรียกใช้ฟังก์ชัน Lambda ซึ่งแยกอินสแตนซ์ดังกล่าวโดยอัตโนมัติ (นำออกจาก ASG และใช้กลุ่มความปลอดภัยที่จำกัดมากขึ้น) พร้อมส่งการแจ้งเตือนไปยังทีมความปลอดภัย การตอบสนองแบบอัตโนมัตินี้เกิดขึ้นภายในไม่กี่วินาที ไม่ใช่หลายชั่วโมง

# EventBridge rule for GuardDuty finding
aws events put-rule \
  --name isolate-compromised-instance \
  --event-pattern '{
    "source": ["aws.guardduty"],
    "detail-type": ["GuardDuty Finding"],
    "detail": {
      "severity": [{"numeric": [">", 7]}],
      "type": [{"prefix": "UnauthorizedAccess"}]
    }
  }'

# Lambda target automatically:
# 1. Terminates instance from ASG
# 2. Creates forensic snapshot of EBS volume
# 3. Notifies security team via SNS

การควบคุมเชิงตรวจจับ: CloudTrail และ Config

เสาหลัก Security กำหนดให้มี ความสามารถในการตรวจสอบย้อนกลับ — ต้องทราบว่าใครทำอะไร เมื่อใด และจากที่ใด AWS CloudTrail บันทึกการเรียก API ทุกครั้งในบัญชีของคุณ ได้แก่ ผู้เรียก จาก IP ใด ใช้ข้อมูลรับรองใด และผลลัพธ์เป็นอย่างไร AWS Config ตรวจสอบการกำหนดค่าทรัพยากรอย่างต่อเนื่อง และตรวจพบเมื่อการกำหนดค่าเบี่ยงเบนจากกฎการปฏิบัติตามข้อกำหนดของคุณ (เช่น บักเก็ต S3 ถูกทำให้เป็นสาธารณะ) เมื่อใช้ร่วมกัน CloudTrail และ Config จะจัดเตรียมเส้นทางการตรวจสอบที่ครอบคลุมสำหรับการสืบสวนด้านความปลอดภัยและหลักฐานการปฏิบัติตามข้อกำหนด

# Query CloudTrail to find who deleted an S3 bucket
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=EventName,AttributeValue=DeleteBucket \
  --start-time 2026-06-01T00:00:00Z \
  --end-time 2026-06-21T23:59:59Z

# AWS Config rule: S3 must not be publicly accessible
aws configservice put-config-rule \
  --config-rule '{
    "ConfigRuleName": "s3-bucket-public-read-prohibited",
    "Source": {"Owner":"AWS","SourceIdentifier":"S3_BUCKET_PUBLIC_READ_PROHIBITED"}
  }'

Security Hub สำหรับรวมศูนย์ผลการตรวจพบ

AWS Security Hub รวบรวมผลการตรวจพบด้านความปลอดภัยจาก GuardDuty, Inspector, Macie, IAM Access Analyzer, Config และเครื่องมือจากผู้ให้บริการภายนอกไว้ในแดชบอร์ดเดียว โดยประเมินสภาพแวดล้อมของคุณตามมาตรฐานความปลอดภัย เช่น CIS AWS Foundations Benchmark, PCI DSS และ AWS Foundational Security Best Practices Security Hub กำหนดระดับความรุนแรงให้ผลการตรวจพบ และให้คุณตั้งค่าการดำเนินการแก้ไขแบบอัตโนมัติผ่าน EventBridge เปิดใช้ Security Hub เป็นศูนย์กลางสำหรับการจัดการสถานะด้านความปลอดภัยของคุณ

# Enable Security Hub
aws securityhub enable-security-hub \
  --enable-default-standards

# Enable specific standards
aws securityhub batch-enable-standards \
  --standards-subscription-requests \
    StandardsArn=arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0 \
    StandardsArn=arn:aws:securityhub:us-east-1::standards/pci-dss/v/3.2.1

ตรวจสอบความเข้าใจอย่างรวดเร็ว

ทดสอบความเข้าใจแนวคิด AWS Solutions Architect (SAA-C03) จากบทเรียนนี้

สรุปบทเรียน

ในบทเรียนนี้ คุณได้เรียนรู้ว่า ความเป็นเลิศด้านการปฏิบัติการมุ่งเน้นการใช้การปฏิบัติการเป็นโค้ด การเปลี่ยนแปลงขนาดเล็กที่ย้อนกลับได้ และการเรียนรู้จากความล้มเหลว เสาหลัก Security กำหนดให้ใช้สิทธิ์เท่าที่จำเป็นน้อยที่สุด การป้องกันเชิงลึก และการตอบสนองต่อเหตุการณ์แบบอัตโนมัติ และ CloudTrail, Config และ Security Hub จัดเตรียมการควบคุมเชิงตรวจจับสำหรับการตรวจสอบความปลอดภัยอย่างต่อเนื่อง เสาหลักทั้งสองเป็นพื้นฐานของระบบ AWS ที่ออกแบบมาอย่างดีทุกระบบ บทถัดไปเราจะศึกษาเสาหลัก Reliability และ Performance Efficiency

คำถามที่พบบ่อย

บทเรียน “เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cloud & IT Cert Prep ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cloud & IT Cert Prep มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย”

ใช้ IaC การเปลี่ยนแปลงขนาดเล็กที่ย้อนกลับได้ และคู่มือปฏิบัติงานสำหรับการดำเนินงาน ส่วนด้านความปลอดภัยให้ใช้หลักสิทธิ์น้อยที่สุด การปกป้องข้อมูล และการตอบสนองต่อเหตุการณ์ คุณปฏิบัติ Cloud & IT Cert Prep ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cloud & IT Cert Prep หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cloud & IT Cert Prep บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 1 จากทั้งหมด 4 บทเรียน

บทเรียน “เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cloud & IT Cert Prep นี้ได้ไหม

ได้ บทเรียน Cloud & IT Cert Prep ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

  1. เสาหลักความเป็นเลิศด้านการดำเนินงานและความปลอดภัย
  2. เสาหลักความน่าเชื่อถือและประสิทธิภาพ
  3. เสาหลักการเพิ่มประสิทธิภาพต้นทุนและความยั่งยืน
  4. เครื่องมือ Well-Architected และกระบวนการทบทวน
← กลับไปที่ Cloud & IT Cert Prep