Nền tảng AWS: hạ tầng toàn cầu và Well-Architected
Region, Availability Zone, edge location, mô hình trách nhiệm chung và 6 trụ cột Well-Architected: khung để đọc mọi câu hỏi kiến trúc.
- DomainThiết kế chịu lỗi
- DomainThiết kế hiệu năng cao
- DomainThiết kế bảo mật
- DomainTối ưu chi phí
- 8 sơ đồ
- 9 tình huống
- 10 dịch vụ
5 phút phải nhớ
- Region là một vùng địa lý độc lập; mỗi Region có ít nhất 3 Availability Zone (AZ).Dữ liệu không tự rời Region. Chọn Region theo 4 tiêu chí: tuân thủ / nơi lưu dữ liệu, độ trễ tới người dùng, dịch vụ có sẵn ở Region đó, giá.
- AZ là một hoặc nhiều trung tâm dữ liệu có điện, mạng, làm mát riêng; các AZ trong Region nối với nhau bằng mạng riêng độ trễ thấp.Chịu lỗi một AZ = chạy ít nhất 2 AZ. Chịu lỗi cả Region (thảm hoạ, yêu cầu pháp lý) = nhiều Region.
- Tên AZ (us-east-1a) có thể trỏ tới chỗ vật lý khác nhau giữa các tài khoản cũ; AZ ID (use1-az1) thì giống nhau ở mọi tài khoản.Phối hợp nhiều tài khoản (ví dụ đặt cùng chỗ với subnet chia sẻ, PrivateLink) thì so bằng AZ ID.
- Edge location (điểm hiện diện của CloudFront) nhiều hơn Region rất nhiều; Route 53, CloudFront, Global Accelerator, WAF, Shield chạy ở edge.Muốn giảm độ trễ cho người dùng toàn cầu mà không mở thêm Region: đưa nội dung / kết nối ra edge.
- Local Zone: hạ tầng AWS đặt gần một thành phố lớn, nối về Region cha; Wavelength: hạ tầng trong mạng 5G của nhà mạng; Outposts: phần cứng AWS đặt trong trung tâm dữ liệu của bạn.Độ trễ một chữ số ms cho người dùng một thành phố → Local Zone; ứng dụng di động 5G → Wavelength; dữ liệu phải ở lại on-prem nhưng muốn API AWS → Outposts.
- Mô hình trách nhiệm chung: AWS lo bảo mật CỦA đám mây (hạ tầng, phần cứng, cơ sở vật chất), bạn lo bảo mật TRONG đám mây.Phần của bạn thay đổi theo dịch vụ: EC2 bạn vá hệ điều hành khách; RDS / S3 / Lambda AWS vá nền tảng, bạn vẫn lo dữ liệu, mã hoá, IAM, cấu hình mạng.
- Well-Architected có 6 trụ cột: vận hành xuất sắc, bảo mật, độ tin cậy, hiệu năng, tối ưu chi phí, bền vững.Câu hỏi SAA thường là "thoả yêu cầu X với chi phí / vận hành ít nhất": đọc yêu cầu theo từng trụ cột để loại đáp án.
- Scale up (dọc) = máy to hơn, có giới hạn và thường phải dừng máy; scale out (ngang) = thêm máy sau load balancer, gần như không giới hạn.Đáp án "chịu tải tăng đột biến, không downtime" gần như luôn là scale out với Auto Scaling.
- High availability (giảm thời gian gián đoạn) khác fault tolerance (không gián đoạn) và khác disaster recovery (khôi phục sau sự cố lớn).Đề hay dùng đúng chữ: "không được gián đoạn" cần dư thừa chạy song song; "khôi phục trong 4 giờ" là bài toán DR với RTO/RPO.
- Ưu tiên dịch vụ managed / serverless khi đề nhấn "giảm gánh vận hành".Cùng đáp ứng yêu cầu, đáp án dùng RDS, Lambda, Fargate, DynamoDB thường thắng đáp án tự cài trên EC2.
- Dữ liệu vào AWS từ internet không tính phí; dữ liệu ra internet và giữa các AZ thì tính phí.Kiến trúc nhiều AZ có chi phí truyền dữ liệu; đưa nội dung tĩnh qua CloudFront thường rẻ hơn phục vụ thẳng từ EC2.
- Service Quotas (giới hạn) theo Region và tài khoản; nhiều giới hạn tăng được bằng yêu cầu.Đề có thể hỏi vì sao không tạo thêm tài nguyên được: chạm quota, không phải lỗi IAM.
- AWS Health Dashboard báo sự cố ảnh hưởng tới chính tài khoản của bạn; Trusted Advisor kiểm tra cấu hình theo chi phí, bảo mật, hiệu năng, giới hạn, chịu lỗi.Muốn được báo tự động khi AWS bảo trì phần cứng chạy EC2 của mình: sự kiện Health → EventBridge.
Sơ đồ
Region, Availability Zone và edge location
Từng bước
- Các AZ trong Region nối nhau bằng mạng riêng; hỏng một AZ thì các AZ còn lại vẫn chạy.
- Người dùng vào edge location gần nhất (CloudFront, Route 53), rồi đi trong mạng AWS về Region.
Tên AZ và AZ ID giữa hai tài khoản
Từng bước
- us-east-1a của A là use1-az1, nhưng us-east-1a của B lại là use1-az4.
- Muốn cùng chỗ vật lý: so AZ ID, không so tên.
Edge location và regional edge cache
Từng bước
- Người dùng vào edge location gần nhất; trúng cache thì trả ngay.
- Trượt cache: hỏi regional edge cache, cuối cùng mới về origin.
Local Zone, Wavelength và Outposts
Từng bước
- Local Zone: EC2, EBS… đặt gần một thành phố lớn, nối về Region cha.
- Wavelength: hạ tầng nằm trong mạng 5G của nhà mạng.
- Outposts: phần cứng AWS trong trung tâm dữ liệu của bạn, quản lý từ Region qua service link.
Mô hình trách nhiệm chung theo loại dịch vụ
Từng bước
- EC2: bạn vá hệ điều hành khách, cấu hình Security Group, mã hoá dữ liệu.
- RDS: AWS vá OS và engine; bạn lo dữ liệu, quyền, mạng, bật sao lưu.
- Lambda / S3: AWS lo gần hết nền tảng; bạn lo code, dữ liệu, IAM.
Scale up và scale out
Từng bước
- Scale up: dừng máy, đổi loại lớn hơn; có trần và có downtime.
- Scale out: Auto Scaling thêm máy, ALB tự chia tải cho máy mới.
Ba mức chịu lỗi
Từng bước
- Mức chuẩn cho SAA: chạy song song ở ≥ 2 AZ.
- Khi đề đòi chịu lỗi cả Region hoặc DR địa lý: thêm Region thứ hai.
Chỗ nào tính phí truyền dữ liệu
Từng bước
- Dữ liệu vào AWS từ internet không tính phí; dữ liệu ra internet tính theo GB.
- Truyền giữa các AZ tính phí theo cả hai chiều: nhiều AZ có giá.
- Nội dung phục vụ qua CloudFront: cache gần người dùng, thường rẻ hơn phục vụ thẳng.
So sánh nhanh
Các lớp hạ tầng
| Ở đâu | Dùng khi | |
|---|---|---|
| Region | Vùng địa lý, ≥ 3 AZ | Mặc định; chọn theo tuân thủ, độ trễ, dịch vụ, giá |
| Availability Zone | Trung tâm dữ liệu riêng biệt trong Region | Chịu lỗi: chạy ≥ 2 AZ |
| Local Zone | Gần một thành phố lớn, nối về Region cha | Độ trễ rất thấp cho người dùng thành phố đó (game, dựng hình, livestream) |
| Wavelength Zone | Trong mạng 5G của nhà mạng | Ứng dụng di động / IoT cần độ trễ cực thấp qua 5G |
| Outposts | Rack / server AWS đặt tại trung tâm dữ liệu của bạn | Dữ liệu phải ở on-prem, cần xử lý tại chỗ nhưng dùng API AWS |
| Edge location | Điểm hiện diện CloudFront khắp thế giới | Cache nội dung, DNS, bảo vệ DDoS, tăng tốc kết nối |
Trách nhiệm theo loại dịch vụ
| Việc | EC2 (IaaS) | RDS (managed) | Lambda / S3 (serverless) |
|---|---|---|---|
| Vá hệ điều hành | Bạn | AWS | AWS |
| Vá database engine | Bạn (nếu tự cài) | AWS (trong cửa sổ bảo trì bạn chọn) | Không áp dụng |
| Security Group / mạng | Bạn | Bạn | Bạn (VPC của Lambda nếu có) |
| Mã hoá dữ liệu, sao lưu | Bạn | Bạn bật, AWS thực hiện | Bạn cấu hình |
| IAM, ai được truy cập | Bạn | Bạn | Bạn |
| Phần cứng, trung tâm dữ liệu | AWS | AWS | AWS |
6 trụ cột Well-Architected
| Trụ cột | Câu hỏi chính | Từ khoá trong đề |
|---|---|---|
| Vận hành xuất sắc | Chạy, theo dõi, cải tiến thế nào? | IaC, tự động hoá, runbook, quan sát |
| Bảo mật | Bảo vệ dữ liệu, hệ thống ra sao? | least privilege, mã hoá, truy vết |
| Độ tin cậy | Phục hồi khi lỗi thế nào? | Multi-AZ, tự phục hồi, sao lưu, DR |
| Hiệu năng | Dùng tài nguyên hiệu quả? | chọn đúng loại, cache, serverless |
| Tối ưu chi phí | Trả đúng thứ cần? | đúng kích cỡ, Savings Plans, Spot, tắt khi không dùng |
| Bền vững | Giảm tác động môi trường? | dùng ít tài nguyên hơn, managed, Graviton |
HA, chịu lỗi và DR
| Mục tiêu | Ví dụ | |
|---|---|---|
| High availability | Gián đoạn ít và ngắn | ALB + Auto Scaling 2 AZ, RDS Multi-AZ |
| Fault tolerance | Không gián đoạn khi một thành phần hỏng | Chạy dư thừa song song, Aurora / DynamoDB tự sao chép |
| Disaster recovery | Khôi phục sau sự cố lớn theo RTO / RPO | Sao lưu sang Region khác, pilot light, warm standby |
Tình huống đề hay gặp
1Công ty phải lưu dữ liệu khách hàng EU trong EU theo luật. Chọn Region thế nào?
Xem đáp án
Đúng: Chỉ dùng Region trong EU, rồi chọn trong đó theo độ trễ, dịch vụ cần dùng và giá
Dữ liệu không tự rời Region; tuân thủ lọc trước, các tiêu chí khác chọn sau.
Sai: Chọn Region rẻ nhất
Tuân thủ là ràng buộc cứng, đứng trước giá.
Sai: Chọn Region gần trụ sở công ty nhất
Vị trí trụ sở không liên quan yêu cầu nơi lưu dữ liệu.
2Ứng dụng web phải chạy tiếp khi một trung tâm dữ liệu mất điện, chi phí hợp lý.
Xem đáp án
Đúng: ALB + Auto Scaling trải ≥ 2 AZ, database Multi-AZ
Mỗi AZ là trung tâm dữ liệu độc lập trong cùng Region; đây là mức chịu lỗi chuẩn và rẻ nhất.
Sai: Một EC2 lớn hơn
Vẫn là một điểm hỏng duy nhất.
Sai: Chạy hai Region active-active
Đáp ứng được nhưng tốn hơn nhiều so với yêu cầu (chỉ cần chịu lỗi một trung tâm dữ liệu).
3Hai tài khoản cần đặt tài nguyên vào đúng cùng một AZ vật lý.
Xem đáp án
Đúng: So bằng AZ ID (ví dụ use1-az1)
AZ ID chỉ cùng một vị trí vật lý ở mọi tài khoản.
Sai: Cùng chọn us-east-1a
Ở tài khoản cũ, tên AZ được ánh xạ riêng cho từng tài khoản: us-east-1a của hai bên có thể là hai chỗ khác nhau.
4Studio dựng hình ở Los Angeles cần độ trễ một chữ số ms tới máy trạm trên AWS; Region gần nhất ở xa.
Xem đáp án
Đúng: Local Zone ở thành phố đó
Chạy EC2, EBS… ngay gần người dùng, quản lý như một phần mở rộng của Region cha.
Sai: Thêm CloudFront
CloudFront cache nội dung, không chạy được máy trạm / tính toán tương tác.
Sai: Outposts
Dùng được nhưng phải đặt và vận hành phần cứng tại chỗ; Local Zone đáp ứng mà không cần thế.
5Nhà máy phải xử lý dữ liệu tại chỗ vì luật và độ trễ, nhưng đội phát triển muốn dùng cùng API, công cụ của AWS.
Xem đáp án
Đúng: AWS Outposts
Phần cứng AWS đặt trong trung tâm dữ liệu của bạn, quản lý từ Region như các dịch vụ AWS khác.
Sai: Local Zone
Local Zone là hạ tầng của AWS ở thành phố, không nằm trong nhà máy của bạn.
6Theo mô hình trách nhiệm chung, ai vá hệ điều hành của EC2 và ai vá hệ điều hành chạy RDS?
Xem đáp án
Đúng: EC2: bạn. RDS: AWS
Càng managed, phần AWS lo càng nhiều; dữ liệu, IAM và cấu hình truy cập vẫn luôn là của bạn.
Sai: AWS vá cả hai
Với EC2, hệ điều hành khách là của bạn.
Sai: Bạn vá cả hai
Với RDS, AWS quản lý hệ điều hành và engine; bạn chọn cửa sổ bảo trì.
7Lượng truy cập tăng gấp 10 vào giờ cao điểm, không được gián đoạn khi tăng tải.
Xem đáp án
Đúng: Scale out: Auto Scaling group sau load balancer
Thêm / bớt máy theo tải mà không dừng dịch vụ.
Sai: Đổi sang loại EC2 lớn hơn
Scale up có giới hạn và thường phải dừng máy để đổi loại.
8Đội vận hành muốn được báo tự động khi AWS lên lịch bảo trì phần cứng ảnh hưởng tới EC2 của mình.
Xem đáp án
Đúng: AWS Health (sự kiện theo tài khoản) → EventBridge → SNS / tự động xử lý
Health gửi sự kiện riêng cho tài nguyên của bạn; EventBridge chuyển thành thông báo hoặc hành động.
Sai: Theo dõi trang trạng thái công khai của AWS
Trang công khai không cho biết tài nguyên cụ thể nào của bạn bị ảnh hưởng, và không tự động.
9Ứng dụng phục vụ ảnh, video tĩnh trực tiếp từ EC2 cho người dùng toàn cầu; hoá đơn truyền dữ liệu và độ trễ đều cao.
Xem đáp án
Đúng: Đặt CloudFront phía trước (S3 hoặc EC2 làm origin)
Nội dung được cache ở edge gần người dùng; phí truyền dữ liệu từ origin trên AWS tới CloudFront được miễn.
Sai: Thêm EC2 ở cùng Region
Không giảm độ trễ cho người dùng ở xa, không giảm lượng dữ liệu ra internet.
Chọn nhanh
Cần đặt tài nguyên ở đâu?
| Khi cần | Dùng |
|---|---|
| Chịu lỗi một trung tâm dữ liệu | ≥ 2 AZ trong một Region · xem sơ đồ |
| Chịu lỗi cả Region / yêu cầu DR xa | Nhiều Region · xem sơ đồ |
| Độ trễ cực thấp cho người dùng một thành phố | Local Zone · xem sơ đồ |
| Ứng dụng di động qua 5G | Wavelength Zone · xem sơ đồ |
| Dữ liệu / xử lý phải nằm tại trung tâm dữ liệu của bạn | Outposts · xem sơ đồ |
| Phân phối nội dung, DNS, chống DDoS gần người dùng | Edge location (CloudFront, Route 53, Shield) · xem sơ đồ |
| Cùng AZ vật lý giữa nhiều tài khoản | Dùng AZ ID · xem sơ đồ |
| Tải tăng giảm thất thường | Scale out với Auto Scaling · xem sơ đồ |
| Giảm gánh vá, sao lưu, vận hành | Dịch vụ managed / serverless · xem sơ đồ |
Bẫy hay gặp
- Nghĩ rằng dữ liệu tự sao chép sang Region khác: không, phải tự cấu hình (S3 CRR, snapshot copy, global table…).
- Coi us-east-1a của hai tài khoản là cùng một chỗ.
- Đặt toàn bộ hệ thống trong một AZ rồi gọi là "high availability".
- Chọn Region theo giá trước khi kiểm tra yêu cầu tuân thủ / nơi lưu dữ liệu.
- Cho rằng AWS vá hệ điều hành của EC2.
- Cho rằng dùng dịch vụ managed thì không còn phải lo IAM và mã hoá.
- Lẫn Local Zone (AWS đặt ở thành phố) với Outposts (đặt trong nhà bạn).
- Chọn scale up cho yêu cầu "không downtime khi tải tăng".
- Quên rằng truyền dữ liệu giữa các AZ cũng tính phí.
- Quên rằng một số dịch vụ / loại máy mới chưa có ở mọi Region.
Dịch vụ trong module
Well-Architected Tooltự đánh giá kiến trúc chuẩn
Organizationsquản lý nhiều tài khoản
Supportcác gói hỗ trợ kỹ thuật của AWS
Health Dashboardtrạng thái sức khoẻ dịch vụ AWS
Trusted Advisortư vấn tối ưu tài khoản tự động
Local Zonesmở rộng Region tới gần người dùng
WavelengthAWS bên trong mạng 5G
Outposts racktủ rack AWS đặt tại chỗ
CloudFrontCDN, cache gần người dùng- Service Quotasxem và tăng giới hạn dịch vụ
Số liệu dễ thay đổi (đã kiểm với tài liệu AWS)
- AWS có 39 Region và 124 Availability Zone; 46 Local Zone, 33 Wavelength Zone; hơn 750 điểm hiện diện CloudFront. kiểm ngày 2026-10-16 ↗
- Mỗi Region có ít nhất 3 Availability Zone. kiểm ngày 2026-10-16 ↗
- Tài khoản tạo trước 11/2025 ở các Region lâu đời có tên AZ ánh xạ riêng theo tài khoản; AZ ID là cùng một vị trí vật lý ở mọi tài khoản. kiểm ngày 2026-10-16 ↗
- Well-Architected có 6 trụ cột: vận hành xuất sắc, bảo mật, độ tin cậy, hiệu năng, tối ưu chi phí, bền vững. kiểm ngày 2026-10-16 ↗
- Với EC2, khách hàng quản lý hệ điều hành khách; với S3, DynamoDB, AWS vận hành lớp hạ tầng. kiểm ngày 2026-10-16 ↗
- Dữ liệu từ internet vào AWS không tính phí; dữ liệu ra internet tính phí; truyền giữa các AZ trong cùng Region tính cả chiều vào và chiều ra. kiểm ngày 2026-10-16 ↗
- Truyền dữ liệu giữa CloudFront và origin trên AWS được miễn khi phục vụ qua CloudFront. kiểm ngày 2026-10-16 ↗