監控、稽核與管理

EC2 的 CPU、網路、磁碟 I/O（IOPS）是 AWS hypervisor 層級的指標，CloudWatch 預設收集。但記憶體（RAM）使用率和磁碟空間使用率（Disk Utilization）需要在 OS 層級收集，必須安裝 CloudWatch Agent（或舊的 CloudWatch Monitoring Scripts）。安裝後設定 Agent 將指標推送到 CloudWatch Custom Metrics。

AWS CloudTrail 記錄所有 AWS API 呼叫，包括：呼叫者身份（IAM User/Role）、時間、來源 IP、動作名稱（DeleteDBInstance）。這正是稽核「誰做了什麼 API 操作」的標準工具。CloudTrail 預設保留 90 天，長期保留需輸出到 S3。Config 記錄資源設定狀態，但不記錄是誰做的操作。

AWS Config 專門用於評估資源設定合規性：① 設定 Config Rule「s3-bucket-server-side-encryption-enabled」；② Config 持續監控所有 S3 Bucket，發現未加密的 Bucket 就標記為 NON_COMPLIANT；③ 可設定 SNS 通知或 Auto Remediation（自動執行 SSM Automation 啟用加密）。CloudWatch 不評估設定合規性；Macie 掃描資料內容，不評估加密設定。

SSM Run Command 允許在多台 EC2 上同時執行命令或腳本，不需要 SSH 或開放 Port 22。只要 EC2 安裝了 SSM Agent 且有適當的 IAM Role，就可以從 Console 或 CLI 批量選取目標 EC2 並執行命令，結果回傳到 Console/S3/CloudWatch Logs。如果是定期補丁，更推薦用 SSM Patch Manager 搭配維護視窗。

SSM Session Manager 是現代、安全的 EC2 連線方式：① 完全不需要開放 Port 22 或任何 Inbound Port；② 不需要 SSH Key Pair；③ 連線通過 HTTPS（Port 443），走 AWS 網路；④ 所有 Session 活動都記錄到 CloudTrail 和 S3（完整稽核軌跡）。比 Bastion Host 更安全（Bastion Host 本身是攻擊面）、更簡單（不需要管理 Bastion Host）。

CloudTrail 分兩種事件：Management Events（控制層操作，如建立 EC2、修改安全組）預設啟用；Data Events（資料層操作，如 S3 GetObject/PutObject、Lambda Invoke）預設不啟用，因為這類操作量極大（高流量 S3 Bucket 每秒可能數萬次），若全部記錄費用很高。需要記錄 S3 物件存取（安全需求）時，手動啟用並選擇特定 Bucket。

CloudWatch Alarm 在指標跨越門檻時可觸發動作：發 SNS 通知、觸發 Auto Scaling 擴縮、停止/重啟 EC2 等，實現自動化反應。Dashboard 只是視覺化；CloudTrail/Config 是稽核與合規。

CloudWatch Logs Insights 提供查詢語言，讓你對 CloudWatch Logs 中的日誌做互動式搜尋、彙總與視覺化，快速定位錯誤。CloudTrail 記的是 API 呼叫；Athena 查的是 S3 上的資料。

記憶體與磁碟空間使用率屬於作業系統內部指標，CloudWatch 預設（Hypervisor 層）看不到，需安裝 CloudWatch Agent 收集並以自訂指標發送。CPU/網路/磁碟 I/O 等 Hypervisor 層指標才是預設就有。

CloudTrail Organization Trail 由管理帳號建立、自動套用到組織下所有帳號與所有 Region（含新加入帳號），集中輸出到中央 S3，最適合組織級稽核。逐帳號逐區設定容易漏。

CloudTrail Log File Integrity Validation 會為日誌檔產生雜湊與簽章摘要（digest），可用來驗證日誌自送達 S3 後是否被修改或刪除，滿足合規的不可竄改稽核需求。

AWS Config 偵測合規狀態，搭配 Remediation（透過 SSM Automation 文件）可在偵測到不合規時自動執行修復動作（如關閉公開存取）。Config 不會事前「阻止」操作，但可事後自動修正。

Config Aggregator 把多帳號、多 Region 的 Config 合規資料彙總到單一檢視，方便組織層級的合規管理。逐帳號檢視難以掌握全局。

SSM Patch Manager 可依 patch baseline 與維護時窗自動掃描並套用修補到大量受管執行個體，並回報合規狀態，免逐台手動處理。Run Command 是臨時執行指令；Patch Manager 專做修補管理。

SSM Parameter Store 適合集中儲存設定值（可分層命名 /app/prod/db-url、版本控管，SecureString 可加密），標準參數免費。Secrets Manager 較貴但有自動輪替，適合需要輪替的密鑰。

CloudWatch Synthetics 用 canary 腳本定期模擬使用者行為（開頁面、走流程、打 API）主動監控可用性與延遲，在真實使用者受影響前發現問題。其他選項都是被動記錄。

SSM Session Manager 透過 SSM Agent 提供瀏覽器/CLI 的殼層存取，免開 22 埠、免跳板機，且可將工作階段記錄到 S3/CloudWatch 供稽核，安全性優於傳統 Bastion + SSH。

CloudWatch Logs Subscription Filter 可把符合條件的日誌即時串流到 Kinesis Data Streams/Firehose、Lambda 或 OpenSearch，用於集中處理與即時分析。Logs Insights 是互動查詢、非串流輸出。

Metric Filter 可以從 Log 中比對關鍵字（如 ERROR）並轉成 CloudWatch 指標，再對這個指標設 Alarm，達到門檻就發 SNS 通知。Logs Insights 是互動查詢，不會自動告警；CloudTrail 記錄的是 API 呼叫、Config 評估的是資源設定，都不看應用程式日誌。

CloudTrail 預設啟用，但事件歷史只保留 90 天；要長期保留就建立 Trail，把日誌持續輸出到 S3，再依需求搭配生命週期規則轉到較便宜的儲存層級。CloudWatch Metrics 存的是數值指標，不是 API 呼叫明細。

CloudTrail Insights 會學習帳號平常的 API 呼叫模式，偵測到不尋常的呼叫量（例如突然大量 IAM 操作）時自動產生事件。Synthetics 是模擬使用者操作；Config 評估資源設定是否合規；Flow Logs 記錄的是網路流量，不是 API 呼叫。

CloudWatch、CloudTrail、Config 三者都「不能阻止」操作：Config 只能評估並標記 NON_COMPLIANT，頂多事後自動修復。要在建立當下就拒絕，必須靠 IAM Policy 或 Organizations 的 SCP 用 Deny 擋下。

Container Insights 收集 ECS／EKS／Kubernetes 的容器層級指標（叢集、節點、Pod、容器）。Lambda Insights 是 Lambda 函數專用；CloudTrail 記 API 呼叫；SSM Inventory 收集軟體清單，都不提供容器效能指標。

SSM Inventory 收集 EC2 上安裝的應用程式、套件版本與 OS 資訊，可以集中查詢「誰裝了什麼」。Session Manager 是逐台登入的 Shell 連線；Patch Manager 負責套用補丁（確認受影響範圍後可以接著用它修補）；Dashboards 只顯示指標。