Transit Gateway vs VPC Peering

AWS Transit Gateway действительно удобный способ объединения VPC и он рекомендован как современный подход к реализации VPC peering.

Однако не нужно забывать, что халява - это не про Амазон и просто так один сервис не заменяет другой, будучи при этом более продвинутым и архитектурно правильным. Отгадка находится по официальной ссылке:

https://aws.amazon.com/transit-gateway/pricing/

Если присмотреться, то по сравнению с #VPC_peering, где вы платите лишь за трафик по стандартному ценнику $0.02/GB, добавляется ещё и часовая составляющая — по 5 центов с носа каждой #VPC. При этом VPC минимум две, а значит $0.1 в час или условная m5.large виртуалочка, что для многих может оказаться роскошью.

А когда у вас аккаунтов (а значит и VPC) больше, то сумма за #Transit_Gateway будет кратно более ощутимой. Понятно, что для крупной организации это не те расходы. Однако стоит про них знать, учитывать и ещё крепче любить старый добрый VPC peering.

#pricing

Цены на трафик в Амазоне

Дополняя предыдущий пост по стоимости трафика - расширенная картинка где, чего и сколько стоит.

#pricing

[​​](https://telegra.ph/file/290e2643259353e214332.png)⁠KMS pricing for CMK

Обычно все знают, что стоимость одного KMS ключа - 1 доллар в месяц. Также те, кто следуют рекомендациям лучших ключеводов, включают ротацию CMK (Custom Managed Keys) ключей каждый год. И потом, для старых проектов, они могут обнаружить занимательную математику в биллинге за #KMS.

А всё потому, что мелкий текст обычно не читается:

For a CMK with key material generated by KMS, if you opt-in to have the CMK automatically rotated each year, each newly rotated version will raise the cost of the CMK by $1/month.

А это значит, что через год это будет 2, потом 3, 4 и т.д. долларов в месяц за каждый ключ.

Это потому, что все предыдущие ротируемые ключи сохраняются для возможности расшифровать старое по этому алиасу (т.е. старое не "перешифровывается", а просто всё новое шифруется уже новым ключём). И за них нужно платить.

Бэушное по цене нового, короче.

#стоимость #price #pricing

⁠Тарификация AZ или снова мелкий текст в договоре

Намедни появилась быстро ставшей популярная статья на популярном блоге Corey Quinn, где срываются покровы особенностей национального тарифообразования трафика в Амазоне:

https://www.lastweekinaws.com/blog/aws-cross-az-data-transfer-costs-more-than-aws-says/

Стоит (за)помнить, что если у вас там планируются или работают какие-то более-менее серьёзные мощности или вы просто занимаетесь бесчеловечным кост-менеджментом (и правильно делаете), то вчитывайтесь в детали и особенно подробно изучайте мелкий шрифт, чтобы не было никаких неясностей. Амазон - не благотворительная, а коммерческая организация и нужно всегда трезво оценивать его ценовую политику.

В частности, в случае мульти-AZ трафика между инстансами, в том числе, когда они соединены через VPC peering, то упоминаютые в основном прайсе 0.1 за гигабайт будут:

• за запрос исходящий из одной зоны
• плюс этот же запрос как входящий для другой зоны

Такая ситуация возникает, когда требуется сделать HA (High Availability) кластер для какой-нибудь собственной базы данных, для чего (т.е. отказоустойичовати) требуется задеплоить ноды в разных подзонах. Данные между нодами будут постоянно синхронизироваться и вы попадаете на бабки.

Ситуация не возникает для трафика балансеров (ELB/ALB/NLB), т.к. они имеют в каждой подзоне свой ENI (сетевую карту) и потому трафик получается внутри-зонный, т.е. бесплатный. Однако если балансировка происходит через VPC peering (да, так тоже можно), то включаются мульти-AZ издежрки.

п.с. Картинка по стоимости трафика, которая как-то была тут раньше.

#multi_az #pricing

GKE = EKS

Kubernetes мастер-ноды на GCP перестают быть бесплатными.

Starting June 6, 2020, GKE clusters will accrue a management fee of $0.10 per cluster per hour, irrespective of cluster size or topology. One zonal cluster per billing account is free. GKE cluster management fees do not apply to Anthos GKE clusters.

Причём цена у Google теперь точно равна варианту от Amazon. Совпадение? Не думаю!

#EKS #pricing

​​Стоимость AWS ресурсов в разных регионах разная, потому стоит учитывать этот момент, т.к. отличие в 15-20% практически норма, а можно попасть и на половину, ежели ваши заказчики из Бразилии.

Хорошая статья по разнице стоимости ресурсов в зависимости от регионов (со свежим перерасчётом цен) здесь:

https://www.concurrencylabs.com/blog/choose-your-aws-region-wisely/

Однако есть другой вопрос — а почему? Почему такая существенная разница?

Причин много. Давайте пофантазируем и построим будущий AWS регион в наших широтах, отталкиваясь от общих вещей.

Железо и технологии у нас свои или долгосрочные контракты с глобальными вендорами. Но что ещё?

Персонал — стоимость рабочей силы. В Украине, РФ, РБ, Казахстане они отличаются и достаточно сильно.

Налоги — отличие не столь принципиально, но если брать различные специальные условия (например, режим ПВТ в Беларуси), то это кратная разница.

Различные государственные ограничения (всевозможные налоги на Гугл, защита персональных данных и прочее) — тут также кратные будут отличия.

Стоимость подключения к провайдерам — где-то государственная монополия с одним уровнем цен, а где-то большое количество операторов.

Стоимость электричества — немаловажная составляющая, опять же существенные отличия (у кого-то нехватка, а кое-где не знают, что делать с лишними мегаваттами).

Спрос на облачные услуги и размер экономики региона — опять существенные отличия.

Ну, и, наконец — конкуренция. Если у кого-то есть условное (и безусловное) Яндекс.Облако, то с ним придётся жёстко и долгосрочно бодаться, в том числе и по части ценовой политики.

Весь этот набор (и не только) даёт на выходе винегрет формирования цены по миру (ведь везде аналогичные отличия), потому 15-20% вполне адекватный разброс.


п.с. Вопрос "почему" был задан в личку — было интересно разобрать подробней и рассказать здесь. Уважаю и люблю такие вопросы, поэтому если у вас тоже есть свои вопросы "почему" — смело пишите в личку или в чате.

#AWS_Regions #pricing

AWS Pricing Calculator – рассчёт стоимости AWS ресурсов:

https://calculator.aws

Pricing Calculator позволяет рассчитать стоимость отдельных ресурсов, для чего имеются прямые ссылки для различных сервисов, например:

🖥️ EC2 - https://calculator.aws/#/createCalculator/EC2
💾 S3 - https://calculator.aws/#/createCalculator/S3
...и другие сервисы, полный список (81 шт.) - https://calculator.aws/#/addService

#pricing

☸️ Confidential Kubernetes

https://kubernetes.io/blog/2023/07/06/confidential-kubernetes/

Реально хорошая статья по состоянию дел с Confidential Computing в отношении Kubernetes. Жаль, без авторов со стороны AWS, потому для человека в теме, по части AWS будут сразу видны некоторые, скажем так, моменты.

1️⃣ «A managed CloudHSM from AWS costs around $1.50 / hour or ~$13,500 / year.»

А-ха-ха. В год, страшное дело, для бизнеса с такими требованиями по безопасности. И особенно смешно с учётом стоимости HSM в Azure: 😃

Hourly usage fee per HSM
Azure Dedicated HSM $4.85

2️⃣ Технология Confidential Computing на AWS или AWS Nitro Enclaves, лишь кратко упомянута из-за «have a different threat model compared to the CPU-based solutions by Intel and AMD».

Тут всё верно, целиком согласен. Nitro Enclaves — крутая фича, однако годность её AWS придётся всю жизнь доказывать, т.к. простых путей проверить этого нет и нужно целиком полагаться на авторитет AWS и аудиторов, а не техническую невозможность доступа в изолированное окружение.

3️⃣ AMD SEV — упомянуты лишь Azure и Google. Хотя на AWS теперь тоже доступны SEV-SNP (в то время как на Google лишь SEV-ES).

4️⃣ Скорость работы — реализация Confidential Computing от AMD очень эффективна: «SEV-SNP VM overhead is <10%». Про реализацию от Intel сказано расплывчато, что "hard to benchmark". Перевожу на простой — полный тормоз. 😁

5️⃣ Смешное название CoCo (Confidential Containers) и возможность запускать Confidential Kubernetes worker nodes вновь распространяется лишь Azure и Google. А правильно было упомянуть, что AWS Nitro Enclaves работает на EKS.

6️⃣ Хорошее и важное замечание «they don't offer a dedicated confidential control plane» — пока никакое облако не предлагает Confidential Kubernetes мастер-ноды, речь только о workers.

7️⃣ Constellation — интересная штука, буду признателен, если кто-то поделится опытом использования.

Итого, хорошая статья, очень рекомендую ознакомиться.

#security #ConfidentialComputing #ConfidentialKubernetes