Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

架构指南和决策 

本节将简要概述通常用于 SAP 工作负载的Amazon服务，以及在设计托管 SAP 的架构时需要了解的一些要点Amazon。如果您已经熟悉这些Amazon服务，则可以跳过本节。

区域和可用区

Amazon全球基础设施由Amazon区域和可用区 (AZs) 组成。 有关Amazon全球基础设施的更多详细信息，请参阅区域和可用区。

Regions

Amazon业务遍及全球，可确保为世界各地的客户提供服务。Amazon在北美、南美、欧洲、亚太和中东维护多个区域。

Amazon区域是地理区域中的Amazon资源集合。每个区域都是隔离的，独立于其他区域。有关区域名称和代码的列表，请参阅区域端点。

区域提供容错能力、稳定性和韧性。通过区域，您可以创建冗余资源，即使在遇到极少出现的中断情况时，这些资源仍保持可用且不受影响。

Amazon区域由多个可用区 (AZs) 组成，通常为 3。可用区是Amazon基础设施中完全隔离的分区。可用区由位于分离设施中的独立数据中心组成，具有冗余电源、联网和连接。

您保留对数据实际所在Amazon区域的完全控制权和所有权，从而可以轻松满足地区合规性和数据驻留要求。

可用区

可用区 (AZs) 使客户能够运行比单个数据中心更高的可用性生产应用程序和数据库。通过将应用程序分布在多个可用区中，您在面对大多数故障模式（包括自然灾害或系统故障）时能够保持韧性。

每个可用区可包含多个数据中心。在完全扩展的情况下，单个可用区可容纳数十万台服务器。它们是Amazon全球基础架构中完全隔离的分区。所有可用区在物理上是彼此分开的，自身具有强大的基础设施。可用区之间有距离间隔，不过都在 100 公里以内（彼此相距 60 英里）。此距离能够隔离可能会影响数据中心的最常见灾害（洪水、火灾、暴风雨、地震等）。

区域内的所有可用区 (AZs) 都通过完全冗余的专用城域光纤与高带宽和低延迟网络互连。这确保了可用区间的高吞吐量、低延迟联网。网络性能足以完成可用区之间的同步复制。

Amazon可用区 (AZs) 使我们的客户能够以高度可用的方式运行其应用程序。为了实现高可用性，应用程序需要在多个位置以完全相同的数据并行运行，这样在发生灾难时，就能以最少的停机时间进行无缝失效转移。

Services

我们的一般政策是，根据客户需求、延迟、数据主权和其他因素，在正式上市后的 12 个月内向所有Amazon地区提供Amazon服务、功能和实例类型。您可以联系 Amazon销售代表，交流您对本地区服务交付的兴趣，索取服务路线图信息，或者深入了解服务的相互依赖关系（需签署 NDA）。

由于服务的性质，某些Amazon服务是在全球而不是按地区交付的，例如53号公路、Amazon Chime、亚马逊 WorkDocs、亚马逊和 WorkMail亚马逊 WorkSpaces。 WorkLink

其他服务，例如亚马逊弹性计算云（亚马逊 EC2）和亚马逊弹性区块存储（Amazon EBS）Elastic Block Store（Amazon EBS），均为区域服务。在创建用于启动的 Amazon EC2 或 Amazon EBS 资源时，您需要在某个区域内指定所需的可用区域。

选择Amazon区域

在为 SAP 环境部署选择Amazon区域时，应考虑以下几点：

多区域注意事项

跨多个区域进行部署时，一个重要的考虑因素是在每个区域中，所需核心服务（例如网络、安全和审计服务）的相关成本和管理工作。

网络延迟

如果您决定采用多区域方法，则应考虑从本地位置到辅助区域的网络延迟增加所产生的影响。

跨区域数据传输

Amazon提供了几种在区域之间传输数据的方法。在设计用于灾难恢复的 SAP 架构时需要用到这些方法。在将数据传输到其他Amazon区域时，您应考虑任何数据驻留要求、与数据传输（跨区域对等 and/or Amazon S3 复制）相关的成本以及次要区域的存储。

第 0 级服务

使用Amazon区域时，在部署 SAP 工作负载之前，您需要许多第 0 层服务。这些产品包括 DNS、Active Directory、 and/or LDAP 以及任何Amazon或 ISV 提供的安全与合规产品和服务。

Amazon账户

虽然没有关于特定客户应拥有多少Amazon账户的 one-size-fits-all答案，但大多数组织都希望创建一个以上的Amazon账户。多个账户可提供最高级别的资源和账单隔离。

在 SAP 工作负载的背景下，客户通常在单独的Amazon账户中部署生产环境。这有助于将生产环境与 SAP 环境的其余部分隔离开来。

Amazon O rganizations 是一项账户管理服务，可让您将多个Amazon账户整合到一个由您创建和集中管理的组织中。Amazon Organizations 包括账户管理和整合账单功能。利用该服务，您可以更好地满足业务的预算、安全性和合规性需求。作为组织的管理员，您可以在组织中创建账户并邀请现有账户加入组织。

Amazon Landing Zon e 是一种解决方案，可帮助客户根据Amazon最佳实践更快地设置安全的多账户Amazon环境。您可以通过自动设置环境用于运行安全且可扩展的工作负载，同时在创建核心账户和资源时实施初始安全基准，来节省时间。它还为开始使用多账户架构、Identity and Access Managem Amazon ent、治理、数据安全、网络设计和日志提供了一个基准环境。

注意：Lan Amazon ding Zone Amazon解决方案由解决方案架构师或专业服务顾问提供，用于创建Amazon客户、网络和安全策略的自定义基准。

如果您希望通过 Active Directory 等自定义插件设置具有丰富自定义选项的可配置着陆区，并通过代码部署和配置管道进行变更管理，请考虑使用 Landing Zone 解决方案。Amazon

Amazon Cont@@ rol Tower 基于与成千上万家企业合作建立的最佳实践，提供了设置和管理安全、合规的多账户Amazon环境的最简单方法。借助 C Amazon ontrol Tower，您的分散团队可以快速配置新Amazon帐户。同时，您的中央云管理员将知道所有账户都与集中制定的公司范围内的合规性政策保持一致。

可以考虑使用Amazon控制塔（Control Tower）在带有预配置蓝图的着陆区基础上设置一个新Amazon环境。您可以通过预配置的护栏，以交互方式监管账户。

计算

亚马逊弹性计算云 (Amazon EC2) 在亚马逊网络服务 (Amazon) 云中提供可扩展的计算容量。亚马逊 EC2 实例在指定亚马逊虚拟私有云 (Amazon VPC) 内的特定可用区启动。

当 Amazon EC2 实例部署在单个区域内的两个或多个可用区域时，服务级别Amazon协议为 99.99%。

实例类型

SAP 支持一系列 A mazon EC2 实例类型。在为 SAP 工作负载选择实例类型时，应考虑哪些层可以灵活地使用实例（应用程序层）。根据计算、内存、存储吞吐量和许可证合规要求，您还需要考虑哪些层需要使用特定的实例类型（数据库层）。

对于具有特定实例类型要求且在出现故障时无法灵活进行更改的层，请考虑在运行实例的区域和所需可用区中，通过预留实例或按需容量预留来实现容量预留。这种方法称为静态稳定性。有关详细信息，请参阅使用可用区的静态稳定性。

预留实例

与按需@@ 实例定价相比，预留实例可显著节省您的 Amazon EC2 成本。预留实例不是物理实例。它们是对账户中使用的按需实例所应用的账单折扣。要想享受到折扣优惠，这些按需型实例必须与特定属性（例如实例类型和区域）匹配。

当您 EC2 跨多个可用区部署 Amazon 以实现高可用性时，我们建议您使用区域预留实例。除了相比按需型实例定价可以实现节省之外，区域预留实例还可在指定可用区内提供容量预留。这可以确保您可以随时使用所需的容量。

出于计费目的，Organizations 的整合账单功能将组织中的所有账户视为一个账户。Amazon这意味着，组织中的所有账户都可以享受到任何其他账户购买的预留实例的小时成本优惠。

节省计划

S@@ avin gs Plans 是一种灵活的定价模式，可为您的Amazon计算使用量节省高达 72%。无论 EC2 实例系列、大小、租期或Amazon地区如何，它都提供更低的 Amazon 实例使用价格。Savings Plan 模式也适用于Amazon Fargate 和 Lambda Amazon的使用。

与按需相比，Savings Plans 可节省大量费用，就像亚马逊 EC2 预留实例一样，以换取承诺在一年或三年内使用特定数量的计算能力（以美元/小时计）。

按需容量预留

按需容量预留允许您为特定可用区域中的 Amazon EC2 实例预留任意持续时间的容量。这使您能够独立地创建和管理容量预留，并享受到节省计划或区域预留实例带来的账单折扣。您可以随时创建容量预留，确保只要需要，您就可以随时访问Amazon EC2 容量。您随时可以创建容量预留，而无需作出一年或三年期限承诺，并且可以立即使用该容量。当您不再需要预留时，建议您取消容量预留来停止产生费用。

跨可用区的实例系列可用性

某些 Amazon EC2 实例系列（例如 X1 和高内存）不适用于某个区域内的所有可用区。您应确认 SAP 工作负载所需的实例类型，并检查目标可用区中是否提供该类型。

Amazon EC2 自动恢复

Amazon a EC2 uto recovery 是一项 Amazon EC2 功能，当实例由于底层硬件故障或需要Amazon参与修复的问题而受损时，它会自动恢复同一可用区内的实例。

您可以通过创建监控 EC2 实例状态的亚马逊 CloudWatch 警报来启用亚马逊实例的自动恢复。导致系统状态检查出现故障的问题示例包括：

尽管失败的实例通常需要不到 15 分钟的时间才能重启，但 Amazon a EC2 uto Recovery 不提供 SLA。因此，如果故障主机上运行的应用程序的恢复至关重要（例如，SAP 数据库或 SAP 中央服务），则应考虑使用跨两个可用区的集群来帮助确保高可用性。

内存增强型裸机专属主机

Amazon EC2 内存增强型实例专为运行大型内存数据库（例如 SAP HANA）而设计。高内存裸机实例可在 Amazon EC2 专用主机上使用，预留期为一年或三年。

内存增强型实例支持专属主机恢复。如果在专属主机上检测到故障，主机恢复自动在新的替换主机上重新启动实例。主机恢复可减少人工干预的需求，并降低了意外发生专属主机故障时的运营负担。

我们建议您在所选区域的不同可用区中使用第二个内存增强型实例，以防出现可用区故障。

亚马逊 EC2 维护

Amazon维护实例的底层主机时，它会安排实例的维护时间。维护事件分为两种类型：

此外，我们经常升级我们的 Amazon EC2 队列，许多补丁和升级都以透明的方式应用于实例。但是，一些更新需要短暂的重启。这样的重启应该很少发生，但对于应用升级来增强安全性、可靠性和操作性能是必要的。

作为 Amazon EC2 定期维护的一部分，可能需要进行两种类型的重启：

您可以在Amazon管理控制台中或使用 API 工具或命令行查看您的实例即将发生的任何计划事件。

如果您不执行任何操作，两种情况下对您的实例的影响都是一样的：在您的计划维护时段内，实例将完成重启，大多数情况下需要几分钟。

或者，您可以通过对实例执行停止和启动操作，将实例迁移到新主机。有关更多信息，请参阅停止和启动实例。您可以自动化立即停止并启动以响应计划维护事件。

Networking

Amazon Virtual Private Cloud 和子网

亚马逊虚拟私有云（Amazon VPC）是专用于您的Amazon账户的虚拟网络。它在逻辑上与Amazon云中的其他虚拟网络隔离。您可以将您的Amazon资源（例如 Amazon EC2 实例）启动到您的 VPC 中。

创建 VPC 时，必须以无类域间路由 (CIDR) 块的形式为 VPC 指定 IPv4 地址范围，例如 10.0.0.0/16。这是您的 VPC 的主网段。

您可以在所选Amazon区域内创建 VPC，它将在该区域内的所有可用区域中可用。

要向您的 VPC 添加新子网，您必须在 VPC 范围内为该子网指定一个 IPv4 CIDR 块。您可以指定要在其中放置子网的可用区。您在同一个可用区内可以有多个子网，但单个子网不能跨多个可用区。

为了确保以后的灵活性，建议您的子网和连接设计支持您的账户在该区域中的所有可用区，无论您最初计划在一个区域内使用多少个可用区。

跨可用区的延迟

所有可用区 (AZs) 都通过完全冗余的专用城域光纤与高带宽、低延迟的网络互连。在同一区域中，不同可用区之间资源的延迟为几毫秒。

为了实现高可用性，我们建议跨多个可用区部署生产 SAP 工作负载，包括 SAP 应用程序服务器层。如果您有涉及大量数据库调用的 SAP 事务或批处理作业，我们建议您在与数据库位于同一可用区的 SAP 应用程序服务器上运行这些事务，并对最终用户使用 SAP 登录组 (SMLG)，对后台处理作业使用批处理服务器组 (SM61)。这可确保 SAP 工作负载中对延迟敏感的部分运行在合适的应用程序服务器上。

从本地到Amazon连接

您可以通过 Site-to-Site虚拟专用网络 (VPN) 或 Di Amazon rect Connect 从本地连接到您的 VPC。Amazon Direct Connect 提供的服务级别协议高达 99.99%， Site-to-SiteVPN 提供的 S LA 为 99.95% 

Site-to-Site VPN 连接是指向特定区域。对于基于 Direct Connect 的连接，通过 Direct Connect 网关可以连接到多个区域。

在与Amazon本地建立连接时，请确保通过使用多个 Direct Connect Link、多个 VPN 连接或两者的组合来实现弹性连接。

Amazon Direct Connect 韧性工具包提供了具有多种韧性模式的连接向导。这些模式可帮助您订购专用连接来实现 SLA 目标。

VPC 端点

VPC 终端节点以私密方式将您的 VPC 连接到支持的Amazon服务和由提供支持的 VPC 终端节点服务Amazon PrivateLink。它不需要通过互联网网关、NAT 设备、VPN 连接或 Di Amazon rect Connect 连接访问互联网。您的 VPC 中的实例不需要公有 IP 地址即可与Amazon服务中的资源通信。您的 VPC 与其他服务之间的流量不会离开 Amazon 网络。

VPC 终端节点可用于支持基于 SAP 的工作负载所需的所有核心Amazon服务，包括亚马逊 EC2 API、Amazon S3 和亚马逊 Elastic File System。

跨区域对等连接

Amazon Virtual Private Cloud（亚马逊 VPC）支持不同区域的两个 VPCs 区域之间的区域间对等互连。这可用于允许网络流量（例如数据库复制流量）在不同区域的两个 Amazon EC2 实例之间流动。区域间对等连接会产生数据传输费用。

Amazon T@@ ransit Gateway 是一个网络传输中心，您可以使用它通过 Di Amazon rect Connect 或 VPN 将一个Amazon区域内的虚拟私有云 (VPC) 与其他Amazon区域的其他云以及本地网络互连。 VPCs 使用 Transit Gateway 将产生 Tr ansit Gateway 费用。Amazon Tran sit Gateway 在一个区域内提供了 99.95% 的 SL A。

负载均衡

弹性负载均衡支持以下类型的负载均衡器：应用程序负载均衡器、网络负载均衡器、网关负载均衡器和经典负载均衡器。

Network Load Balancer 可用于支持跨多个可用区部署 SAP Web Dispatchers SA and/or P Central Services 的高可用性。有关详细信息，请参阅使用网络负载均衡器的覆盖 IP 路由。

负载均衡器充当客户端的单一接触点。负载均衡器将传入流量分配到多个目标，例如 Amazon EC2 实例。

侦听器使用您配置的协议和端口检查来自客户端的连接请求，然后将请求转发给目标组。

每个目标组使用 TCP 协议和指定的端口号将请求路由到一个或多个注册目标，例如 Amazon EC2 实例。您可以对每个目标组配置运行状况检查。在注册到目标组 (它是使用负载均衡器的侦听器规则指定的) 的所有目标上，执行运行状况检查。

对于 TCP 流量，网络负载均衡器基于协议、源 IP 地址、源端口、目标 IP 地址、目标端口和 TCP 序列号，使用流哈希算法选择目标。每个单独的 TCP 连接在连接的有效期内路由到单个目标。

DNS

Amazon Route 53 是一种可用性高、可扩展性强的域名系统（DNS）Web 服务。您可以使用 Route 53 以任意组合执行三个主要功能：域注册、DNS 路由和运行状况检查。Route 53 提供 100% 的 SLA。 

Amazon Route 53 Resolver 提供了一组功能，允许在本地和Amazon通过私有连接进行双向查询。

仓储服务

对象存储

Amazon Simple Storage Service（Amazon S3）是一种对象存储服务，提供行业领先的可扩展性、数据可用性、安全性和性能。Amazon S3 是一项区域性服务，覆盖一个区域中的所有可用区，设计为可实现 99.999999999%（11 个 9）的持久性以及 99.9% 的 SLA。

为了防止数据丢失，您可以将备份（例如数据库备份或文件备份）存储到 Amazon S3 中。此外，亚马逊 EBS 快照和亚马逊系统映像 (AMIs) 存储在 Amazon S3 中。

Amazon S3 复制支持自动跨 Amazon S3 存储桶以异步方式复制对象。为对象复制配置的存储桶可以归同一个Amazon账户所有，也可以由不同的账户拥有。

Amazon S3 复制

您可以在相同或不同的Amazon区域之间复制对象。

跨区域复制会产生以下成本：

此外，您还可以对跨区域复制启用 Amazon S3 Replication Time Control。Amazon S3 Replication Time Control（Amazon S3 RTC）可以帮助您满足数据复制的合规性要求或业务要求，并提供对 Amazon S3 复制时间的可见性。Amazon S3 RTC 会在几秒钟内复制您上传到 Amazon S3 的大多数对象，并在 15 分钟内复制 99.99% 的对象。

除了以上列出的跨区域复制费用外，Amazon S3 RTC 还会产生下列费用：

同区域复制会产生以下成本：

数据块存储

Amazon Elastic Block Store (Amazon EBS) 提供块级存储卷，用于亚马逊 EC2 实例。Amazon EBS 卷的行为类似于原始、未格式化的块储存设备。您可以将这些卷作为设备挂载在实例上。您可以在这些卷上创建文件系统，或者以使用块设备（如硬盘）的任何方式使用这些卷。您可以动态更改附加到实例的卷的配置。

Amazon EBS 卷放在一个特定的可用区内，并在其中自动复制，以保护您免受单一组件发生故障而造成的影响。所有 Amazon EBS 卷类型都提供持久快照功能，旨在通过多可用区配置实现每个卷的 99.999% 可用性和 99.99% 的服务可用性。您需要使用数据库复制功能、块级复制解决方案或 Amazon EBS 快照，才能为存储在 Amazon EBS 上跨多个可用区的 SAP 数据确保持久性。

Amazon EBS 卷的年故障率（AFR）设计为 0.1% 到 0.2% 之间，其中故障是指卷完全或部分丢失，具体取决于卷的大小和性能。这使得 Amazon EBS 卷的可靠程度比普通商用磁盘高 20 倍，后者通常出现故障的 AFR 约为 4%。例如，如果 1000 个 Amazon EBS 卷运行 1 年，则可能会有一两个卷出现故障。

Amazon EBS 提供多种不同的卷类型。此服务必须用于与 SAP 数据库相关的数据，且必须使用通用型 SSD（gp2）或预调配 IOPS SSD（io1）。吞吐量和 IOPS 要求将决定需要使用 gp2 还是 io1。

通过 Amazon EBS 多重挂载，您可以将单个预调配 IOPS SSD（io1）卷连接到位于同一可用区中的最多 16 个基于Amazon Nitro 的实例。您可以将多个启用多重挂载的卷附加到一个实例或一组实例。卷附加到的每个实例都对共享卷拥有完全读取和写入权限。启用多重连接的卷不支持 I/O 屏蔽。 I/O 屏蔽协议控制共享存储环境中的写入访问权限以保持数据一致性。您的应用程序必须为附加的实例提供写入顺序，以保持数据一致性。

Amazon EBS 快照

您可以通过拍摄 point-in-time快照将 Amazon EBS 卷上的数据备份到 Amazon S3。快照属于增量 备份，这意味着仅保存设备上在最新快照之后更改的数据块。由于无需复制数据，这将最大限度缩短创建快照所需的时间和增加存储成本节省。删除快照时，仅会删除该快照特有的数据。每个快照都包含将数据（拍摄快照时存在的数据）还原到新 Amazon EBS 卷所需的所有信息。

可以将 Amazon EBS 快照复制（复制）到与不同Amazon账户 and/or 共享的不同区域。

跨区域复制快照会产生以下费用：

还原快照

从现有 Amazon EBS 快照创建的新卷在后台延迟加载。也就是说，通过快照创建卷之后，无需等待所有数据从 Amazon S3 传输到 Amazon EBS 卷，附加的实例即可开始访问该卷及其所有数据。

此初步操作需要时间，并且会大大增加 I/O 操作的延迟。如果您的实例访问尚未加载的数据，卷会立即从 Amazon S3 下载请求的数据，然后在后台继续加载卷数据的剩余部分。

快速快照还原

Amazon EBS 快速快照还原使您能够从快照创建在创建时已完全初始化的卷。这消除了首次访问区块时对其进行 I/O 操作的延迟。使用快速快照还原创建的卷可以立即交付其所有预配置性能。要使用快速快照还原，请在特定可用区中为特定快照启用此功能。对于启用快速快照还原功能的每个区域，按数据服务单位小时数 (DSUs) 收费。 DSUs 按分钟计费，最少 1 小时。

文件存储

Amazon EFS

Amazon Elastic Fil e System（亚马逊 EFS）提供基于 NFS 版本 4 的可扩展文件存储，供基于 Linux 的 EC2 亚马逊使用（基于 Windows 的亚马逊实例不支持 EC2 亚马逊 EFS）。 该服务旨在实现高度可扩展性、可用性和耐用性。Amazon EFS 文件系统跨一个Amazon区域的多个可用区存储数据和元数据。Amazon EFS 提供 99.99% 的 SLA。

Amazon EFS 文件系统可以在同一区域或不同区域 VPCs内跨账户共享，这使得 Amazon EFS 成为 SAP 全局文件系统 (/sapmnt) 和 SAP 传输目录 (/usr/sap/trans) 的理想选择。

Amazon DataSync支持 Amazon EFS 到 Amazon EFS 在区域和不同Amazon账户之间传输，允许跨区域复制基于 SAP 文件的关键数据。Amazon Backup 还可用于跨区域复制 Amazon EFS 文件系统的备份。

Amazon FSx

亚马逊 FSx 版 Windows 文件服务器提供完全托管的微软 Windows 文件服务器，由完全原生 Windows 文件系统提供支持。Amazon FSx 提供 99.9% 的 SLA，同时支持单可用区和多可用区文件系统。

使用单可用区文件系统，Amazon FSx 会自动在可用区内复制您的数据，持续监控硬件故障，并在出现故障时自动更换基础设施组件。亚马逊 FSx 还使用存储在Amazon S3中的Windows卷影复制服务，每天对您的文件系统进行高度持久的备份。您可以随时进行额外的备份。

多可用区文件系统支持单可用区文件系统的所有可用性与持久性功能。此外，它们的设计目的是，即使在某个可用区不可用时也能连续提供数据供使用。在多可用区部署中，Amazon FSx 会自动在不同的区域预配置和维护备用文件服务器。写入文件系统中磁盘的任何更改都会跨可用区同步复制到备用区。

Amazon FSx 文件系统可以在同一区域或不同区域 VPCs内跨账户共享，这使得 Amazon FSx 不仅可以用于 SAP 全球文件系统，还可以用于 SAP 传输目录。

此外，亚马逊还 FSx 可用于为微软 SQL Server 提供持续可用 (CA) 文件共享。

监控和审计

Amazon CloudWatch

Amazon CloudWatch 是一项专为 DevOps 工程师、开发人员、站点可靠性工程师 (SREs) 和 IT 经理构建的监控和可观察性服务。 CloudWatch 为您提供数据和切实可行的见解，以监控您的应用程序、响应系统范围的性能变化、优化资源利用率并获得统一的运营状况视图。 CloudWatch 以日志、指标和事件的形式收集监控和操作数据，为您提供在服务器上和本地服务器上运行的Amazon资源、应用程序Amazon和服务的统一视图。您可以使用 CloudWatch 来检测环境中的异常行为、设置警报、并排可视化日志和指标、采取自动操作、解决问题以及发现见解，以保持应用程序平稳运行。

Amazon CloudTrail

Amazon CloudTrail 是一项支持对您的Amazon账户进行治理、合规、运营审计和风险审计的服务。借 CloudTrail助，您可以记录、持续监控和保留与整个Amazon基础架构中的操作相关的账户活动。 CloudTrail 提供您的Amazon账户活动的事件历史记录，包括通过Amazon管理控制台Amazon SDKs、命令行工具和其他Amazon服务执行的操作。该事件历史记录简化了安全分析、资源变更跟踪和故障排除工作。此外，您还可以使用 CloudTrail 来检测Amazon账户中的异常活动。这些功能有助于简化操作分析和故障排除。