本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 附錄 A-部分服務指引
<a name="appendix-a---partitional-service-guidance"></a>

 對於部分服務，您應該實作靜態穩定性，以便在AWS服務控制平面損壞期間維持工作負載的彈性。以下提供了有關如何考慮部分服務的依賴性以及在控制平面障礙期間哪些將和可能不起作用的規定指導。

## AWS Identity and Access Management (IAM)
<a name="aws-iam"></a>

 AWS Identity and Access Management(IAM) 控制平面包含所有公用 IAM API (包括存取顧問，但不包括隨處存取分析器或 IAM 角色)。這包括`CreateRole`、、`AttachRolePolicy``ChangePassword`、`UpdateSAMLProvider`和之類的動作`UpdateLoginProfile`。IAM 資料層為每AWS 區域個資料層中的 IAM 主體提供身份驗證和授權。在控制平面損害期間，IAM 的 CRUDL 類型操作可能無法運作，但現有主體的身份驗證和授權將繼續工作。STS 是一種僅限資料平面的服務，與 IAM 分開，不依賴於 IAM 控制平面。

 這意味著，當您規劃 IAM 的依賴關係時，不應依賴恢復路徑中的 IAM 控制平面。例如，「break-glass」管理員使用者的靜態穩定設計是建立附加適當權限的使用者、設定密碼並佈建存取金鑰和秘密存取金鑰，然後將這些認證鎖定在實體或虛擬保存庫中。在緊急情況下需要時，請從 Vault 擷取使用者身分證明，並視需要使用它們。non-statically-stable設計是在失敗期間佈建使用者，或預先佈建使用者，但僅在需要時附加管理原則。這些方法取決於 IAM 控制平面。

## AWS Organizations
<a name="aws-organizations"></a>

 AWS Organizations控制平面包含所有公用組 Organizations API `AcceptHandshake``AttachPolicy`，例如`CreateAccount``CreatePolicy`、、和`ListAccounts`。沒有用於的資料平面AWS Organizations。它協調其他服務（例如 IAM）的數據平面。在控制平面減損期間，Organizations 的 CRUDL 類型作業可能無法運作，但服務控制政策 (SCP) 和標籤政策等政策將繼續運作，並作為 IAM 授權程序的一部分進行評估。Organizations 織支援的其他AWS服務中委派的管理員功能和多帳戶功能也會繼續運作。

 這意味著，當您計劃依賴關係時AWS Organizations，您不應該依賴復原路徑中的「Organizations」控制平面。而是在恢復計劃中實現靜態穩定性。例如，一non-statically-stable種方法可能是更新 SCP 以移除AWS 區域透過`aws:RequestedRegion`條件允許的限制，或為特定 IAM 角色啟用管理員許可。這會依賴「Organizations」控制平面來進行這些更新。更好的方法是使用會[話標籤](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html)來授予管理員權限的使用。您的身分識別提供者 (IdP) 可以包含可根據`aws:PrincipalTag`條件評估的工作階段標籤，這可協助您動態設定特定主體的權限，同時協助您的 SCP 保持靜態。這會移除控制平面的相依性，並僅使用資料平面動作。

## AWS Account Management
<a name="aws-account-management"></a>

 AWS帳戶管理控制平面託管於 us-east-1 中，由所有用於管理的[公用 API](https://docs.aws.amazon.com/accounts/latest/reference/api-reference.html) 組成AWS 帳戶，例如和。`GetContactInformation` `PutContactInformation`它還包括AWS 帳戶通過管理控制台創建或關閉新的。的 API`CloseAccount`，`CreateAccount``CreateGovCloudAccount`，和`DescribeAccount`是AWS Organizations控制平面的一部分，這也託管在 us-東 1。此外，在[以外的地方建立GovCloud帳戶AWS Organizations](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/getting-started-sign-up.html)依賴 us-east-1 中的AWS 帳戶管理控制平面。此外，GovCloud帳戶[必須是 1：1 鏈接](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/getting-started-standard-account-linking.html)到`aws`分區AWS 帳戶中的。在`aws-cn`分區中創建帳戶並不依賴 us-east-1。的資料平面AWS 帳戶就是帳戶本身。在控制面障礙期間，CRUD 類型的操作（例如創建新帳戶或獲取和更新聯繫信息）AWS 帳戶可能無法正常工作。IAM 政策中的帳戶參考仍會繼續運作。

 這意味著，當您計劃對AWS帳戶管理的依賴關係時，您不應該依賴復原路徑中的帳戶管理控制平面。雖然帳戶管理控制平面不提供您通常會在復原情況下使用的直接功能，但有時候您可能會這麼做。例如，靜態穩定的設計是預先佈建容錯移轉所需的所有內AWS 帳戶容。設non-statically-stable計是在失敗事件AWS 帳戶期間建立新的，以託管 DR 資源。

## Route 53 Application Recovery Controller
<a name="route-53-application-recovery-controller"></a>

 Route 53 ARC 的控制平面由用於復原控制和復原準備的 API 組成，如下所示：[Amazon Route 53 應用程式復原控制器端點和配額](https://docs.aws.amazon.com/general/latest/gr/r53arc.html)。您可以使用控制平面來管理整備檢查、路由控制和叢集作業。ARC 的資料平面是您的復原叢集，它會管理 Route 53 健康狀態檢查所查詢的路由控制值，並實作安全規則。Route 53 ARC 的[資料平面功能](https://docs.aws.amazon.com/routing-control/latest/APIReference/Welcome.html)可透過復原叢集 API 來存取`https://aaaaaaaa.route53-recovery-cluster.eu-west-1.amazonaws.com`。

 這意味著您不應該依賴於恢復路徑中的 Route 53 ARC 控制平面。有兩種[最佳作法](https://docs.aws.amazon.com/r53recovery/latest/dg/route53-arc-best-practices.html)可協助實作此指引：
+  首先，將五個區域叢集端點加入書籤或硬式編碼。這樣就不需要在容錯移轉案例期間使用DescribeCluster控制平面作業來探索端點值。
+  其次，使用路由 53 ARC 叢集 API，方法是使用 CLI 或 SDK 來執行路由控制項的更新，而不是AWS 管理主控台. 這會移除管理主控台做為容錯移轉計畫的相依性，並確保它只依賴於資料平面動作。

## AWS Network Manager
<a name="aws-network-manager"></a>

 AWS網路管理員服務主要是控制平面唯一的系統，主控在美國西部 -2。其目的是跨區域和內部部署位置AWS 帳戶，集中管理您的AWS 雲端廣域網路 (WAN) 核心網路和 AWS Transit Gateway 網路的組態。它也會在 us-west-2 中彙總您的 Cloud WAN 指標，也可透過資料平面存取。CloudWatch如果網路管理員受損，其所協調之服務的資料平面將不會受到影響。雲端 WAN 的CloudWatch指標也可在美國西部 -2 中使用。如果您想要歷史指標資料 (例如每個區域輸入和傳出的位元組)，以了解在影響 us-west-2 的故障期間或出於其他操作目的時可能轉移到其他區域的流量量，可以直接從CloudWatch主控台匯出這些指標為 CSV 資料，或使用以下方法：將 [Amazon CloudWatch 指標發佈到](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/publish-amazon-cloudwatch-metrics-to-a-csv-file.html) CSV 檔案。資料可以在`AWS/Network Manager`命名空間下找到，您可以根據您選擇的排程執行此操作，並將其存放在 S3 或您選取的其他資料存放區中。若要實作靜態穩定的復原計畫，請勿使用 AWS Network Manager 對網路進行更新，或依賴其控制平面作業中的資料進行容錯移轉輸入。

## 53 號路線私人域名
<a name="route-53-private-dns"></a>

 每個分割區都支援 Route 53 私人託管區域；但是，Route 53 中私有託管區域和公共託管區域的考量是相同的。請參閱*[附錄 B-邊緣網路全球服務指南](appendix-b---edge-network-global-service-guidance.md)*中的 *Amazon Route 53*。