AWS'ye giriş: backend geliştirici için

Backend mülakatlarında AWS soruları sertifika sınavı gibi servis ezberi ölçmez. Beklenen şudur: bir Spring Boot servisini AWS'de nerede çalıştıracağını, veriyi nerede tutacağını, servislerin birbirine nasıl güvenli eriştiğini ve bir AZ çöktüğünde ne olacağını anlatabilmek. Aşağıdaki özet bu çerçeveye odaklanır. Fiyat ve limitler değişebilir; buradaki sayılar yazım tarihindeki AWS dokümantasyonuna göredir ve kesin değer için ilgili servis sayfası kontrol edilmelidir.

Region, AZ ve edge

• Region: coğrafi bir bölge (örneğin eu-central-1 Frankfurt). Veri, siz taşımadıkça region dışına çıkmaz; KVKK ve bankacılık düzenlemeleri region seçimini belirler.
• Availability Zone (AZ): bir region içinde birbirinden fiziksel olarak ayrı, kendi enerji ve ağ altyapısı olan veri merkezi grupları. Region'lar genelde en az üç AZ içerir. AZ'ler arası gecikme düşük (tek haneli milisaniye) olduğu için senkron replikasyon yapılabilir.
• Edge location: CloudFront (CDN) ve Route 53 gibi servislerin kullanıcıya yakın uç noktaları.

Yüksek erişilebilirliğin temel kuralı: en az iki, tercihen üç AZ'ye yay. Tek AZ'de çalışan bir sistem, o AZ'deki bir arızada tamamen durur.

IAM: kim neye erişebilir

Değerlendirme kuralı: varsayılan ret; bir Allow erişim verir; açık bir Deny her şeyi ezer. Uygulamalar asla kod ya da ortam değişkeninde access key taşımaz; EC2'de instance profile, ECS'te task role, EKS'te IRSA ya da EKS Pod Identity ile role üstlenir ve AWS SDK kimlik bilgisini kendisi alır. CI/CD de OIDC ile kısa ömürlü role üstlenir. En az yetki ilkesi: s3:* ve Resource: "*" yerine belirli eylem ve belirli kaynak.

Ağ: VPC

Bir VPC, kendi IP aralığın (örneğin 10.0.0.0/16) olan özel ağdır. İçinde her AZ'de subnet'ler açılır:

• Public subnet: route table'ında Internet Gateway'e çıkış vardır; load balancer ve NAT gateway burada durur.
• Private subnet: internetten doğrudan erişilemez; uygulama ve veritabanı burada durur. Dışarı çıkış NAT gateway üzerinden yapılır.

           Internet
               │
        Internet Gateway
               │
  ┌─────── public subnet (AZ a/b/c) ───────┐
  │   ALB            NAT gateway           │
  └────┬──────────────────▲────────────────┘
       │                  │ dışarı çıkış
  ┌─── private subnet (AZ a/b/c) ──────────┐
  │   ECS/EKS servisleri ──► RDS / Aurora   │
  └────────────────────────────────────────┘

Security group kaynak (ENI) seviyesinde, durumlu (stateful) bir güvenlik duvarıdır: sadece izin kuralı yazılır, dönen trafiğe otomatik izin verilir; kaynak olarak başka bir security group gösterilebilir ("sadece uygulama SG'sinden gelen 5432"). Network ACL subnet seviyesindedir, durumsuzdur (dönüş trafiğine ayrıca izin gerekir), izin ve ret kuralı yazılabilir ve kurallar numara sırasıyla değerlendirilir. Günlük işte asıl araç security group'tur.

AWS servislerine (S3, DynamoDB, Secrets Manager, ECR) private subnet'ten erişirken trafiği NAT'tan geçirmek yerine VPC endpoint kullanılır: S3 ve DynamoDB için gateway endpoint ücretsizdir, diğerleri için interface endpoint (PrivateLink) saatlik ücretlidir.

Compute: nerede çalıştırmalı

Lambda limitleri: en fazla 900 saniye (15 dakika) çalışma süresi, 128 MB ile 10.240 MB arası bellek (CPU bellekle orantılı artar), senkron çağrıda 6 MB istek ve cevap, bölge başına varsayılan 1.000 eşzamanlı çalışma. Java'da cold start birkaç saniyeye çıkabilir; SnapStart başlatılmış ortamın anlık görüntüsünü alıp oradan devam ederek bunu ciddi azaltır, provisioned concurrency ise ortamları önceden sıcak tutar.

Depolama ve veritabanı

S3 nesne deposudur: dosya sistemi değil, anahtar-değer gibi çalışır. Tüm işlemlerde güçlü okuma-sonrası-yazma tutarlılığı vardır (2020 sonundan beri). Depolama sınıfları erişim sıklığına göre seçilir (Standard, Intelligent-Tiering, Standard-IA, Glacier sınıfları) ve lifecycle kurallarıyla nesneler otomatik taşınır. Yeni bucket'larda Block Public Access varsayılan olarak açıktır ve nesneler varsayılan olarak şifrelenir. Büyük dosya yüklemelerinde dosyayı uygulamadan geçirmek yerine istemciye kısa ömürlü presigned URL verilir.

RDS'te Multi-AZ yüksek erişilebilirlik içindir: başka bir AZ'de senkron bir yedek tutulur ve arızada otomatik failover olur (klasik Multi-AZ instance'ta yedek okunamaz). Read replica okuma ölçeği içindir ve asenkron çalışır, yani replikada gecikme (lag) olabilir. Aurora depolamayı üç AZ'de altı kopya olarak tutar ve replikalar aynı depolamayı paylaştığı için failover genelde daha hızlıdır.

DynamoDB'de tasarım erişim desenlerinden başlar: partition key yükü dağıtır, sort key aralık sorgusu sağlar. Bir öğe en fazla 400 KB'tır. Koşullu yazma (ConditionExpression) ile idempotency ve iyimser kilitleme yapılır; JOIN yoktur.

Mesajlaşma

SQS standard kuyruk en az bir kez teslim eder ve sıra garantisi vermez; tüketici idempotent olmalıdır. FIFO kuyruk mesaj grubu içinde sıra ve tekilleştirme penceresi içinde tek işlem sağlar ama throughput sınırı daha düşüktür. Bir mesaj alındığında visibility timeout süresince diğer tüketicilere görünmez; bu sürede silinmezse tekrar görünür. Belirli sayıda başarısız alımdan sonra mesaj DLQ'ya taşınır (redrive policy, maxReceiveCount). Mesaj boyutu sınırı 2025'te 256 KiB'tan 1 MiB'a çıktı; daha büyük yükler S3'e konup kuyruğa referansı yazılır.

Secret, konfigürasyon ve şifreleme

• Secrets Manager: veritabanı şifresi, API anahtarı; otomatik rotation desteği; secret başına ücretli.
• SSM Parameter Store: konfigürasyon ve basit secret'lar (SecureString); standart parametreler ücretsiz.
• KMS: şifreleme anahtarları; anahtarın kendisi dışarı çıkmaz, envelope encryption ile veri anahtarı şifrelenir. Erişim key policy ve IAM ile kontrol edilir ve her kullanım CloudTrail'e düşer.

Spring Boot'ta Spring Cloud AWS ile spring.config.import=aws-secretsmanager:... ya da aws-parameterstore:... kullanılabilir; ECS ve EKS'te secret'lar container'a ortam değişkeni olarak da enjekte edilebilir.

Gözlemlenebilirlik ve denetim

• CloudWatch Logs / Metrics / Alarms: log toplama, metrik, eşik ve anomali alarmları.
• X-Ray ya da OpenTelemetry (AWS Distro for OpenTelemetry): dağıtık trace.
• CloudTrail: hesap üzerindeki her API çağrısının kaydı ("bu security group'u kim değiştirdi?"). Bankacılıkta denetim izi için vazgeçilmezdir.

Maliyet tuzakları

Faturayı şaşırtıcı biçimde büyüten kalemler genelde compute değildir:

• NAT gateway: saatlik ücret artı işlenen GB başına ücret (us-east-1'de ikisi de 0,045 USD). S3'e giden yoğun trafik NAT'tan geçiyorsa gateway endpoint ile ücretsiz hâle gelir.
• AZ'ler arası veri transferi: her yönde GB başına ücretlidir; konuşkan servisler AZ'ler arasında çok veri taşır.
• Genel IPv4 adresi: Şubat 2024'ten beri her genel IPv4 adresi saatlik ücretlidir (0,005 USD).
• CloudWatch Logs: yüksek hacimli debug logu alım ücretiyle pahalıya patlar.
• Boşta kalan kaynaklar: unutulmuş EBS diskleri, snapshot'lar, ölçeği küçültülmemiş ortamlar.