① 账号注册与安全组基础配置

AWS复杂的产品架构并不是最让用户头疼的地方，注册账号成功通过风控审核并且确保账号后续稳定才是最难的点。

AWS的注册过程还算比较简单，准备好信用卡或借记卡进行身份验证即可。

中国大陆用户可以通过AWS代理进行免绑卡开户的方式。

但注册完成后别急着去创建实例。

第一件事必须是进入"Security Credentials"页面，开启根账户（Root Account）的多因素认证（MFA）。

这是整个云环境的“总钥匙”，一旦泄露后果不堪设想，务必绑定手机 Authenticator 应用。

接下来是安全组（Security Group）的配置，你可以把它理解为一台虚拟防火墙。

新用户容易犯的错误是开放所有端口（0.0.0.0/0），这在生产环境中是极度危险的。

建议遵循“最小权限原则”：

如果你只是搭建一个 Web 服务器，只开放 80（HTTP）和 443（HTTPS）端口给公网；

对于 SSH（22 端口）或 RDP（3389 端口），最好限制为仅允许你自己的 IP 地址访问。

在控制台创建安全组时，记得给它起个有意义的名字，比如 `web-sg-restrict-ssh`，方便后续管理。

② EC2 实例创建与远程连接步骤

EC2 是 AWS 的核心计算服务，创建实例的过程就像是在云端组装一台电脑。

在启动实例向导中，选择操作系统镜像（AMI）是关键一步，Amazon Linux 2023 或 Ubuntu Server 都是不错的选择，社区支持丰富。

实例类型方面，新手可以从 `t2.micro` 或 `t3.micro` 开始，这些通常包含在免费套餐内，足以应对学习和小型测试需求。

创建过程中，系统会提示你生成或选择一个密钥对（Key Pair）。

请务必下载并妥善保存这个 `.pem` 文件，它是你登录服务器的唯一凭证，AWS 不会存储私钥，一旦丢失无法找回，只能重置实例。

实例运行状态变为 "Running" 后，你就可以通过终端连接了。

Linux 用户使用 `ssh -i "your-key.pem" ec2-user@your-public-ip` 命令；Windows 用户则可以通过 Session Manager 无需密钥直接连接，或者使用 RDP 客户端配合获取的管理员密码登录。

初次连接时，如果遇到权限报错，检查本地密钥文件的权限是否为 400（只读）通常能解决大部分问题。

③ S3 存储桶搭建与文件上传操作

如果说 EC2 是计算机，那么 S3 就是无限容量的网络硬盘。

创建一个存储桶（Bucket）非常简单，但要注意 Bucket 名称在全球范围内必须是唯一的，这需要一点创意。

在配置选项中，建议默认阻止所有公共访问，除非你明确需要托管静态网站或公开资源。

对于初学者，开启“版本控制”是个好习惯，它能防止文件被误删或覆盖，保留历史版本。

上传文件可以通过控制台的图形界面拖拽完成，但对于批量操作，安装 AWS CLI 工具会更高效。

配置好凭证后，一条 `aws s3 cp local-file.txt s3://your-bucket-name/` 命令即可完成上传。

S3 的权限管理非常灵活，你可以针对整个桶设置策略，也可以针对单个文件（对象）设置 ACL。在实际操作中，我经常利用 S3 来备份数据库快照或存放应用程序的日志文件，配合生命周期规则，自动将超过 30 天的数据转储到低成本的 Glacier 存储层，既安全又省钱。

 ④ RDS 数据库实例初始化与连接测试

自建数据库维护成本高，RDS 服务让这一切变得简单。

创建 RDS 实例时，选择引擎（如 MySQL、PostgreSQL）和版本要与应用需求匹配。

对于测试环境，选择“开发/测试”模板可以关闭多可用区部署和高可用性选项，从而大幅降低成本。

关键的一步是配置“数据库标识符”和主用户名密码，这些信息稍后连接时会用到。

网络连接方面，RDS 实例必须关联到之前创建的安全组。

务必在该安全组的入站规则中，添加一条允许 EC2 实例安全组访问数据库端口（如 3306）的规则，而不是直接对公网开放。

这样只有你的应用服务器能连库，外部网络无法触及。

实例状态显示为“可用”后，你可以在 EC2 上使用标准的数据库客户端工具进行测试连接。如果遇到连接超时，90% 的情况是安全组规则没配好，或者是子网路由表的问题，按顺序排查即可。

⑤ IAM 用户权限管理与访问密钥生成

再次强调！日常操作千万不要使用根账户。IAM（身份和访问管理）是 AWS 安全的基石。你应该为每个团队成员或应用程序创建独立的 IAM 用户。

创建用户时，最佳实践是“按需授权”，不要直接附加 `AdministratorAccess` 策略。

例如，如果一个用户只需要管理 S3，就只给他 `AmazonS3FullAccess` 权限。

对于需要通过代码或 CLI 访问 AWS 的程序，需要为该 IAM 用户生成“访问密钥 ID"和“秘密访问密钥”。

这两串字符相当于程序的密码，生成后请立即复制保存，因为关闭窗口后就再也看不到了。建议在本地配置 `~/.aws/credentials` 文件来管理这些密钥，避免硬编码在代码仓库中。

定期轮换密钥也是良好的安全习惯，可以设置提醒每 90 天更新一次，降低密钥泄露带来的风险。

 ⑥ VPC 网络环境与子网划分实操

VPC（虚拟私有云）是你云上的隔离网络空间。虽然 AWS 会为每个区域提供一个默认 VPC，但理解其原理对进阶至关重要。

一个标准的 VPC 设计通常包含公有子网和私有子网。

公有子网中的资源拥有公网 IP，可以直接与互联网通信，适合放置负载均衡器或跳板机；私有子网中的资源没有公网 IP，更加安全，适合放置数据库和应用服务器。

实现公私网通信的关键在于互联网网关（IGW）和路由表。你需要将互联网网关附加到 VPC，然后在公有子网的路由表中添加一条指向 IGW 的默认路由（0.0.0.0/0）。而对于私有子网，如果需要访问外网下载补丁，通常需要配置 NAT 网关。

在实操中，我习惯先规划好 CIDR 块，比如用 `10.0.0.0/16` 作为 VPC 网段，然后将其划分为多个 `/24` 的子网，分别分配给不同的可用区，这样既保证了网络隔离，又为高可用架构打下了基础。

⑦ CloudWatch 监控指标查看与报警设置

资源运行起来了，怎么知道它健不健康？CloudWatch 就是你的监控仪表盘。

它会自动收集 EC2 的 CPU 利用率、网络进出流量、磁盘读写等基础指标。

在控制台，你可以直观地看到过去一小时甚至一个月的性能趋势图。

对于数据库，RDS 也会推送连接数、空闲存储空间等关键数据。

仅仅关注图表是不够的，主动报警才是运维的核心。

你可以设置一个 CloudWatch Alarm，例如：

当 EC2 实例的 CPU 平均利用率连续 5 分钟超过 80% 时，触发报警。

报警动作可以是发送 SNS 邮件通知管理员，或者自动触发扩容策略。

对于新手，建议先设置几个基础报警，如“状态检查失败”或“磁盘空间不足”，这样能在问题影响用户之前及时介入处理，避免小病拖成大病。

⑧ 常见连接失败与权限报错排查

在云上操作，遇到报错是家常便饭。最常见的两类问题是“连接超时”和“权限拒绝”。

如果是 SSH 或数据库连接超时，首先检查安全组入站规则是否放行了对应端口和源 IP；其次检查实例是否真的分配了公网 IP（针对公有子网）；最后确认路由表是否正确指向了互联网网关。

如果是"Permission Denied"或"Access Denied"这类错误，大概率是 IAM 权限不足。

此时需要查看 CloudTrail 日志（如果已开启）或仔细核对当前使用的 IAM 用户是否拥有执行该操作所需的策略。

有时候，资源的策略（如 S3 Bucket Policy）也会拦截请求，即使 IAM 用户有权限，资源层面的拒绝优先级更高。

排查时，采用“由外向内”的思路：先看网络通不通，再看身份认不认，最后看资源让不让，通常能快速定位病灶。

⑨ 成本优化策略与免费额度注意事项

云服务按需付费的特性很方便，但也容易导致账单失控。

首先要充分利用 AWS 的免费套餐（Free Tier），许多服务如：

1. t2.micro 实例
2. 5GB 的 S3 存储

一定的 RDS 使用时长在注册后 12 个月内是免费的。

但要注意免费额度是按全球账户累计的，且超出部分会立即计费。

长期的成本优化策略包括：

1. 为非工作时间使用的测试实例设置自动开关机脚本；
2. 为长期运行的稳定负载购买预留实例（Reserved Instances）或节省计划，这比按需实例便宜得多；
3. 利用 S3 的生命周期规则自动清理旧日志或将冷数据归档。

此外，务必在账单中心设置“预算（Budget）”，当预计支出达到设定阈值的 50% 或 80% 时发送邮件预警，这是防止意外高额账单的最后一道防线。

 ⑩ 资源清理流程与避免意外计费方法

实验结束后的清理工作同样重要，甚至比创建资源更需谨慎。

很多AWS用户只删除了 EC2 实例，却忽略了关联的 EBS 卷、弹性 IP 地址或未使用的负载均衡器，这些残留资源仍在持续计费。

正确的清理顺序应该是：

1. 先停止并终止所有 EC2 实例，检查并删除挂载的云硬盘快照。
2. 接着删除 RDS 实例及其自动备份。
3. 然后清空并删除 S3 存储桶中的所有对象及桶本身。
4. 最后释放未绑定的弹性 IP 和删除多余的 NAT 网关。

在删除 VPC 之前，确保其中没有任何依赖资源，否则删除操作会失败。

养成一个习惯：

每次实验结束后，花几分钟时间在控制台的各个服务页面快速扫描一遍，确认没有处于 "Running" 或 "Active" 状态的闲置资源。

这种“随手关门”的习惯，不仅能帮你省下真金白银，也能保持云环境的整洁有序，为下一次实验做好准备。