在这种情况下，我应该使用亚马逊 VPC 还是 EC2？

Question

我的应用程序是一个利用亚马逊网络服务的 SAAS。目前，该应用程序正在结束开发，我的公司收到了第一个客户。我的应用程序用户需要上传具有合理机密数据的 Word 文档，这些数据稍后会进行分析，结果会保存到数据库中以供日后查看。

现在，我并没有打算为成千上万的客户提供服务。我们想一次只处理一个客户，然后再扩大规模。但是，我们收到的第一个客户是 CMM 5 级公司。他们向我们发送了一份安全审查问卷，询问我们从物理安全、应用程序安全、数据安全和网络安全等各个方面。

我的应用程序可以运行他们整个公司的用户负载——这意味着我不需要超过一个 tomcat 应用程序服务器和一个在任何时间点运行在单个节点上的数据库应用程序服务器来为这个客户端提供服务。所以，如果我确保以下——

• 带有加密临时存储、EBS 存储的 EC2 实例。
• EC2 实例，只能由该客户端的 IP 范围访问。
• 每日加密镜像备份到 EBS 的 S3
• 除了 HTTPS 流量的 443 端口外，所有端口都已关闭。

这听起来比

• 具有一两个节点的 VPC，具有专用应用服务器，不同节点上的数据库。
• 带有 IDS（入侵检测系统）的 VPC，已针对访问进行了加固。
• 定义的安全组明确划分了谁可以访问什么。
• VPC 中的防火墙/DMZ 配置
• 用于 Web 服务器的 SSL
• 用于管理 VPC 的两因素身份验证。

我们是一家试图与这家价值数十亿美元的大公司打交道的小企业。交易规模虽小，但未来业务潜力巨大。我们在配置 amazon VPC 并针对潜在威胁对其进行加固方面没有丰富的经验。此外，聘请具有创建完美 VPC 环境专业知识的人员将花费自己的宝贵时间和金钱。此外，在这一点上，可能我听起来更像是一个 ASP 而不是 SAAS。（我想，这就是我们现在开始赚钱以使公司生存下去的目的）。

我有几个问题-

从 VPC 开始有意义吗？如果我预计在不久的将来不会增加负载，如果只有一台机器可以完成甚至说两台机器，那么 VPC 是不是有点矫枉过正？如果我给客户一个专用的 EC2 实例，访问过滤到他们的公司 IP 范围，只打开 https 端口，并且客户数据一直加密，那么这不是比创建 VPC 和管理安全性更简单的方法吗？许多级别（网络、机器级别等）。

另外，如果我必须开始使用 VPC，我是否应该将 VPC 安全性外包给可以为我处理此问题的公司，而我应该只专注于应用程序开发？有做这个的好公司吗？

Answer 1

专有网络。始终为 VPC。即使只有一个实例，我也总是部署在 VPC 中。

AWS 现在默认在 VPC 中部署 EC2 实例是有原因的。通过这样做，您将获得 EC2-Classic 无法实现的安全性和灵活性方面的显着优势。