Lesson 0020：云平台实操——你不只是在租服务器

前面 19 节课你学会了 Docker、K8s、Terraform、CI/CD 全套工具链，但有一个盲区：这些工具操作的对象——云资源本身——你还不熟悉。这节课补齐这个缺口。

JD 里「熟悉至少一个云平台」的出现率接近 100%。以 AWS 为例（概念在所有云平台通用，阿里云/腾讯云/GCP 只是名字不同），这节课覆盖 DevOps 日常高频接触的核心云服务。

VPS vs 云平台：不是一回事

五大核心服务——DevOps 日常绕不开的

1. VPC（Virtual Private Cloud）——你的私有网络

VPC 是你云上所有资源的网络容器。一个典型的 Web 应用 VPC 架构：

                        Internet
                           │
                      Internet Gateway
                           │
           ┌───────────────┴───────────────┐
           │         VPC (10.0.0.0/16)      │
           │                                │
           │   Public Subnet (10.0.1.0/24)  │  ← 有公网 IP 的资源
           │   ┌──────────┐ ┌───────────┐   │
           │   │  Bastion  │ │  ALB      │   │
           │   │  (跳板机) │ │ (负载均衡)│   │
           │   └──────────┘ └───────────┘   │
           │                                │
           │   Private Subnet (10.0.2.0/24) │  ← 无公网 IP，更安全
           │   ┌──────────┐ ┌───────────┐   │
           │   │  EC2 App │ │  RDS DB   │   │
           │   └──────────┘ └───────────┘   │
           └────────────────────────────────┘

面试必知：

• Public Subnet：有路由到 Internet Gateway，资源可以有公网 IP
• Private Subnet：没有直接出网路由，数据库放这里最安全。出网需 NAT Gateway
• Security Group：作用在实例级别的有状态防火墙——允许 inbound 的响应自动允许 outbound
• NACL：作用在子网级别的无状态防火墙——inbound 和 outbound 要分别配

2. EC2（Elastic Compute Cloud）——虚拟机

EC2 就是你 VPS 的云版本。但比 VPS 多了几个关键能力：

# 启动一台 EC2 的典型参数（Terraform 视角——对应 0008）：
resource "aws_instance" "app" {
  ami           = "ami-0c55b159cbfafe1f0"   # 操作系统镜像
  instance_type = "t3.medium"                # CPU/内存规格
  subnet_id     = aws_subnet.private.id      # 放在哪个子网
  vpc_security_group_ids = [aws_security_group.app.id]
  key_name      = "my-key"                   # SSH 密钥

  root_block_device {
    volume_size = 20                         # 系统盘大小 GB
    volume_type = "gp3"                      # SSD 类型
  }
}

3. IAM（Identity and Access Management）——权限的命根子

传统运维思维：「SSH 进去，sudo su，想干什么干什么」。

云上思维：最小权限原则（Least Privilege）——每个角色只给刚好够用的权限，多一点都不行。

# IAM Policy 示例：只允许读取 S3 里的一个 bucket
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::my-app-config",
        "arn:aws:s3:::my-app-config/*"
      ]
    }
  ]
}

核心概念：

• User：人（你有用户名密码/API Key）
• Role：角色（EC2 可以用 Role，不需要在代码里写密码——这是你 0006 学的 GitHub Secrets 的云版本）
• Policy：权限文档（JSON），定义 Allow/Deny 哪些 Action 在哪些 Resource 上

4. S3（Simple Storage Service）——对象存储

S3 不是文件系统。它是一个 key-value 存储，key 是文件名，value 是文件内容。无限容量，11 个 9 的持久性（99.999999999%）。

# S3 典型用法
# 1. 静态网站托管
# 2. CI/CD 制品仓库（存构建产物）
# 3. 日志归档
# 4. 数据库备份
# 5. Terraform state 后端（0008 学过 remote state）

# AWS CLI 操作
aws s3 ls s3://my-bucket/
aws s3 cp app.zip s3://my-bucket/releases/v1.0.0/app.zip
aws s3 sync ./dist/ s3://my-site/          # 部署静态站

5. RDS（Relational Database Service）——托管数据库

自己装数据库：你要管备份、升级、高可用、磁盘扩容。RDS 把这些全自动化了。

# RDS 替你做的事（对比自己装 PostgreSQL）：
自己装                              RDS
──────                              ───
pg_dump + cron 定时备份            自动备份 + 时间点恢复（PITR）
手动配置主从复制                   Multi-AZ 自动故障切换
手动监控磁盘使用率                 自动扩容（或告警）
手动打安全补丁                     自动小版本升级
手动配置 SSL                       一键强制 SSL

关键参数：

• Multi-AZ：主库故障自动切到备库，停机 < 2 分钟。生产数据库必开
• Read Replica：只读副本——读写分离，读流量走副本，主库只写
• Snapshot：手动快照。删库后能从快照恢复到秒级（PITR）

动手练习：在 AWS Free Tier 上搭一个最小云环境

任务：注册 AWS 账号（需信用卡，free tier 免费），用 AWS CLI 完成以下操作。

# 1. 安装 AWS CLI
# 本机已有的话跳过
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o awscliv2.zip
unzip awscliv2.zip && sudo ./aws/install
aws --version

# 2. 配置凭证（在 AWS Console → IAM → 创建 access key）
aws configure
# Access Key ID:     AKIA...
# Secret Access Key: ...
# Default region:    us-east-1
# Output format:     json

# 3. 验证身份
aws sts get-caller-identity
# 输出: { "Account": "123456789012", "UserId": "...", "Arn": "..." }

# 4. 创建 S3 bucket（名字必须全局唯一，加随机后缀）
aws s3 mb s3://my-devops-learning-bucket-$(date +%s)
# 输出: make_bucket: my-devops-learning-bucket-...

# 5. 上传一个文件
echo "Hello from AWS CLI" > test.txt
aws s3 cp test.txt s3://my-devops-learning-bucket-*/

# 6. 验证文件存在
aws s3 ls s3://my-devops-learning-bucket-*/

# 7. 删除文件 + 删除 bucket（记得清理，避免计费）
aws s3 rm s3://my-devops-learning-bucket-*/test.txt
aws s3 rb s3://my-devops-learning-bucket-*/

# 8. 用 Terraform 做同样的事（结合 0008 学的内容）
cat > s3.tf << 'EOF'
provider "aws" { region = "us-east-1" }
resource "aws_s3_bucket" "demo" {
  bucket = "my-terraform-bucket-${random_id.suffix.hex}"
}
resource "random_id" "suffix" {
  byte_length = 4
}
EOF

terraform init && terraform plan && terraform apply
terraform destroy   # 毁灭证据，别留账单

小测验

推荐资源

• AWS Free Tier — 12 个月免费套餐，t2.micro EC2 750h/月、S3 5GB、RDS 750h/月
• AWS CLI 官方文档 — 命令行操作 AWS 的完整参考
• Terraform AWS Provider 文档 — 结合 0008 学的内容，用 Terraform 管 AWS 资源
• Open Guides — AWS — 开源 AWS 实践指南，比官方文档更实用

下一步

下一课学 Lesson 0021：DevSecOps 安全基础——怎么在 CI/CD 流水线里防止把密钥提交到 Git、怎么扫描容器镜像漏洞、怎么把安全做成自动化。