תאריכי המאמר: פורסם במקור באנגלית ב־23 במאי 2026. התרגום והבדיקה הטכנית בעברית נערכו ב־25 באוקטובר 2026. תאריך התרגום אינו תאריך הפרסום המקורי.
שירותי הענן של Amazon Web Services (AWS) כוללים קטלוג רחב מאוד. כדי להתחיל, כדאי להתמקד בקבוצה מצומצמת של שירותים מרכזיים. הסדרה בת ארבעת החלקים סוקרת שירותי AWS מרכזיים, מסבירה מה עושה כל אחד, מתי להשתמש בו ואיך הרכיבים מתחברים. זו בחירה לימודית, לא דירוג שימוש מבוסס נתונים. נתחיל בשתי שכבות יסוד: מחשוב ורשתות. בסוף המאמר תוכלו להבין את תפקידי EC2, Lambda, ECS, EKS, Fargate, VPC ו־Route 53, ואת הדרכים לשלב ביניהם.
איך מחשוב ורשתות מתחברים?
עומס עבודה זקוק למשאבי מחשוב ולתקשורת. שכבת המחשוב מריצה את הקוד באמצעות מעבד (CPU), ושכבת הרשת קובעת מי יכול להגיע אליו ואיך הנתונים עוברים. הבנת שתי השכבות מקלה על שילוב אחסון, מסדי נתונים, תורים וניטור. לא כל שירות מנוהל נמצא בתוך ה־VPC של הלקוח; למשל, Lambda רצה בסביבה שמנהל השירות ויכולה לקבל גישה לרשת שלכם לפי הגדרה.
1. Amazon EC2 — שרתים וירטואליים בענן
Amazon EC2 (Elastic Compute Cloud) הוא שירות מחשוב גמיש שמספק מכונות וירטואליות, הנקראות מופעים (instances). אפשר להפעיל אותן מתמונת מכונה (AMI), לחבר אליהן אחסון ולמקם אותן ברשת שלכם. בדרך כלל מקבלים הרשאות root או Administrator ומנהלים את מערכת ההפעלה ואת התוכנות, בכפוף לתאימות ולמגבלות השירות.
שלושה מושגים בסיסיים שכדאי להכיר הם משפחות מופעים, אפשרויות רכישה ומיקום המשאבים. משפחות המופעים מסומנות באותיות לפי אופי העומס: M לשימוש כללי, C למחשוב מוגבר, R לזיכרון מוגבר, I לאחסון, ו־G/P למעבדים גרפיים (GPU). בכל משפחה בוחרים דור וגודל, כגון m7g.large או c7i.4xlarge. אפשרויות הרכישה מאזנות בין גמישות למחיר: On-Demand ללא התחייבות ארוכה; Reserved Instances או Savings Plans בהתחייבות לשנה או לשלוש שנים ובתנאים משתנים; ו־Spot לקיבולת שניתן להפסיק. הנחת Spot יכולה להגיע עד 90% לעומת On-Demand, אך אינה קבועה. הודעת הפסקה של כשתי דקות היא במאמץ מיטבי, ויש חריגים כגון מעבר מיידי למצב שינה.
מופעי EC2 נמצאים בתוך תת־רשת של ענן פרטי וירטואלי (VPC) ומשתמשים בממשק רשת אלסטי אחד או יותר, ENI. אפשר לחבר אליהם כרכי אחסון בלוקים של EBS לאחסון מתמשך, להציב אותם מאחורי מאזן עומסים יישומי (ALB) או מאזן עומסים ברמת הרשת (NLB) ולנהל קבוצה שלהם באמצעות קבוצת התאמת קיבולת אוטומטית (Auto Scaling Group) שמשנה קיבולת לפי מדדים ומדיניות. אפשר להקצות כתובת IP ציבורית, כתובת Elastic IP קבועה או כתובות פרטיות בלבד. כתובת ציבורית לבדה אינה מספיקה לנגישות מהאינטרנט: נדרשים גם ניתוב והרשאות רשת מתאימים.
2. AWS Lambda — פונקציות ללא ניהול שרתים
AWS Lambda מציעה מודל אחר מ־EC2: מעלים פונקציה, מגדירים זיכרון וכוח עיבוד, ובוחרים סביבת הרצה נתמכת, כגון Node.js, Python, Java או .NET, או תמונת מכל. עבור Go משתמשים במשפחת סביבות ההרצה המבוססות על מערכת הפעלה, כגון provided.al2023, ולא בסביבת Go 1.x הישנה. השירות מפעיל את הקוד בעקבות בקשות או אירועים. החיוב תלוי במסלול ובמשאבים, ויכול לכלול זמן ריצה, בקשות ויכולות נוספות; הוא אינו תמיד רק שני רכיבים אלה.
Lambda תומכת במקורות אירועים רבים: API Gateway, העלאות ל־S3, זרמי DynamoDB, הודעות SQS ו־SNS, כללי EventBridge, אירועי CloudFront באמצעות Lambda@Edge והפעלות מתוזמנות. מנגנון ההפעלה יכול להיות ישיר או באמצעות מיפוי מקור אירועים. בפונקציות האירועים הרגילות זמן הריצה המרבי הוא 15 דקות, והזיכרון ניתן להגדרה עד 10,240 MB; לאפשרויות אחרות, כגון Managed Instances, יכולות להיות מכסות שונות. אחסון /tmp הזמני ניתן להגדרה עד 10,240 MB במסלול הנתמך. סביבות ריצה מבודדות עשויות לעשות שימוש בטכנולוגיית Firecracker; אין פירוש הדבר שנוצרת מכונה חדשה בכל בקשה. יצירת סביבה חדשה גורמת לאתחול קר (cold start); בקשות מאוחרות יותר עשויות להשתמש שוב בסביבה חמה. SnapStart וקיבולת מוכנה מראש (provisioned concurrency) עשויים לצמצם השהיה, בכפוף לתמיכת סביבת ההרצה, למגבלות ולתמחור.
דרך פשוטה לחשוב על ההבדל: ב־EC2 אתם מנהלים מכונה; ב־Lambda אתם מגדירים פונקציה והשירות מנהל את סביבת ההרצה. EC2 מתאים לעומסים ארוכים, לשירותים שמחזיקים מצב ולדרישות מיוחדות, כגון מסד נתונים בניהול עצמי, אימון על GPU או גישה למערכת ההפעלה. Lambda מתאים לעבודת אירועים משתנה: ממשקי API, קוד חיבור בין שירותים, משימות מתוזמנות, עיבוד קבצים וטיפול בהודעות או ב־webhooks.
3. מכלים ב־AWS — ECS, EKS ו־Fargate
בין מכונה וירטואלית מלאה לבין פונקציה נמצאים מכלי תוכנה (containers). שלושה שירותים קשורים מסייעים להריץ אותם: ECS, EKS ו־Fargate. חשוב להבחין בין התפקידים: ECS ו־EKS הם מתזמרים, ואילו Fargate הוא אפשרות מחשוב מנוהלת להרצת המכלים.
ECS (Elastic Container Service) הוא המתזמר המובנה של AWS. מגדירים הגדרות משימה (task definitions) שמתארות תמונות מכל, דרישות מעבד וזיכרון, תפקידי ניהול זהויות וגישה (IAM), מצב רשת ותיעוד יומנים. שירות (service) שומר על מספר המשימות הרצוי ויכול לרשום אותן במאזן עומסים. ECS משתלב עם שירותי AWS נוספים. למישור הבקרה הבסיסי אין חיוב נפרד, אך משאבי ההרצה ותכונות מסוימות עשויים להיות כרוכים בתשלום.
EKS (Elastic Kubernetes Service) מספק Kubernetes מנוהל. מקבלים את חוויית kubectl הרגילה, חבילות Helm, הגדרות משאבים מותאמים (CRD), רכיבי operator ומערכת רחבה של כלי קוד פתוח. AWS מנהלת את מישור הבקרה בתשלום לפי מסלול האשכול, ואתם בוחרים תשתית להרצת העומסים, למשל EC2 או Fargate כשהיא נתמכת. EKS מתאים כשיש צורך בכלי Kubernetes, בניסיון קיים או בדרישות ניידות, אך גם אז צריך לנהל הבדלים בין סביבות.
Fargate מאפשר להריץ משימות ECS או עומסי EKS נתמכים בלי להקים שרתי EC2 בעצמכם. בוחרים משאבים, ו־AWS מנהלת את תשתית ההרצה. התשלום הוא לפי המשאבים המוקצים ומשך ההרצה, לא רק לפי ניצול המעבד בפועל. יש מגבלות על גישה למארח, DaemonSets ותמיכת GPU. השוואת העלות ל־EC2 תלויה בעומס, ברישוי ובמודל הרכישה, ולא במחיר קבוע גבוה יותר לכל תרחיש.
כלל החלטה שימושי: אם לצוות יש מומחיות Kubernetes ודרישה לכלים שלו, בחנו EKS; אחרת ECS עשוי להיות מסלול פשוט יותר. Fargate מצמצם תחזוקת שרתים, ואילו EC2 נותן שליטה רחבה יותר ל־GPU, להרשאות מארח, לתמונות מכונה מותאמות או לאופטימיזציית קיבולת. מכלי Windows כשלעצמם אינם מחייבים EC2: ECS על Fargate תומך בגרסאות Windows נתמכות, עם מגבלות משלו.
4. Amazon VPC — רשת פרטית וירטואלית בענן
Amazon VPC (Virtual Private Cloud) היא רשת וירטואלית למשאבים כגון EC2, משימות מכל ו־RDS. ה־VPC משויך לאזור גאוגרפי של AWS ומקבל טווח כתובות בסימון CIDR, לדוגמה 10.0.0.0/16, שאותו מחלקים לתתי־רשתות (subnets). כל תת־רשת משויכת לאזור זמינות (Availability Zone, או AZ) אחד. תת־רשת ציבורית כוללת נתיב מתאים ל־Internet Gateway, למשל 0.0.0.0/0 עבור IPv4; בהיעדר נתיב כזה היא פרטית. חיבור בפועל תלוי גם בכתובות ובהרשאות. ליציאת IPv4 מרשת פרטית לאינטרנט אפשר להשתמש בשער תרגום כתובות (NAT Gateway), ולגישה פרטית לשירותי AWS נתמכים בנקודות קצה של VPC, כגון Gateway Endpoints ל־S3 ול־DynamoDB, או Interface Endpoints המבוססים על PrivateLink. בדקו אילו שירותים, אזורים וסוגי נקודות קצה נתמכים; לא כל שירות נמצא בתוך תת־הרשת שלכם.
בתוך ה־VPC אפשר לשלוט בתעבורה בשתי שכבות משלימות. קבוצות אבטחה (Security Groups) שומרות מצב, משויכות למשאבים ולממשקי רשת נתמכים, ומאפשרות תעבורה לפי כתובות, קבוצות אבטחה וכללים. תעבורת החזרה של חיבור מותר מתקבלת בהתאם למעקב המצב. רשימות בקרת גישה לרשת (Network ACLs) פועלות ברמת תת־הרשת ואינן שומרות מצב: בודקים בהן תעבורה נכנסת ויוצאת בנפרד. הן תומכות בהיתר ובחסימה ויכולות לשמש שכבה נוספת. השתמשו בקבוצות אבטחה למדיניות ממוקדת למשאב, והוסיפו NACL לפי צורך מוגדר, בלי להסתמך על כלל גורף שמתאים לכל מערכת.
לחיבור רשתות קיימות כמה אפשרויות. VPC Peering מחבר זוג רשתות VPC, בכפוף למגבלותיו. Transit Gateway משמש מרכז חיבור לרשתות VPC ולרשתות מקומיות, למשל דרך Direct Connect או VPN מאתר לאתר. PrivateLink מאפשר לחשוף שירות לרשת אחרת באמצעות נקודת קצה פרטית, בלי לתת ניתוב כללי בין הרשתות. בתכנון מרובה VPC אפשר לשלב כמה מהדפוסים לפי הצורך, ולא חייבים לבחור אחד בלבד.
5. Amazon Route 53 — DNS וניהול תעבורה
Route 53 הוא שירות מערכת שמות המתחם (DNS) של AWS. הוא מספק אחסון רשומות DNS סמכותיות, רישום מתחמים נתמכים, בדיקות תקינות ומגוון מדיניות ניתוב הקובעת אילו תשובות DNS מתקבלות. מדיניות השהיה בוחרת יעד לפי השהיה מוערכת, לא בהכרח לפי מרחק גאוגרפי. DNS גם אינו מחליף מאזן עומסים שמטפל בחיבורים עצמם.
ב־Route 53 אפשר להגדיר רשומות alias ליעדי AWS נתמכים, כגון ALB, CloudFront, API Gateway ו־S3 Website. עבור יעדים מסוימים אין חיוב על שאילתות alias; אל תניחו שכל רשומת alias וכל סוג שאילתה חינם. הרשומה עוקבת אחר היעד בלי שתצטרכו לקבע ידנית את כתובותיו.
חיבור הרכיבים: ארכיטקטורה לדוגמה
מערכת אפשרית משלבת את השכבות שתיארנו. Route 53 מתרגם את api.example.com ליעד של מאזן עומסים יישומי בשתי תתי־רשתות ציבוריות בשני אזורי זמינות. מאזן העומסים מפנה אל שירות ECS שרץ על Fargate בתתי־רשתות פרטיות. המשימות מתחברות לכתובת הפרטית של מסד RDS, ול־S3 דרך נקודת קצה מתאימה, ושולחות יומנים ל־CloudWatch. נקודת קצה של ממשק RDS מיועדת לפעולות ניהול API ואינה מסלול חיבור SQL למסד. קבוצה נפרדת של פונקציות Lambda מטפלת בעיבוד אסינכרוני, כגון שינוי גודל תמונות, צריכת הודעות SQS והפקת דוחות. EC2 יכול לשמש לרכיבים שדורשים ניהול מכונה, כגון שרת בנייה, שרת גישה מוגן או שירות מתמשך. אין חובה לצרף אותו אם אין צורך כזה.
כללי אצבע לעלות ולתפעול
מדדו לפני שמתחייבים. התאימו את גודל מופעי EC2 בעזרת נתוני שימוש והמלצות Compute Optimizer, ובחנו Savings Plans רק עבור בסיס שימוש צפוי. השתמשו ב־Spot לעומסים שיכולים להתמודד עם הפרעות, למשל באמצעות ECS או Karpenter ב־EKS. ב־Lambda כוח העיבוד גדל בקירוב ביחס לזיכרון המוגדר; יותר זיכרון יכול לקצר ריצה, אך אינו מבטיח עלות נמוכה יותר. בצד הרשת, חשבו את עלויות NAT, נקודות הקצה והתעבורה בין אזורי זמינות. צמצמו תעבורה מיותרת בלי לוותר על דרישות זמינות והתאוששות רק כדי לחסוך.
מה בהמשך?
מחשוב ורשתות מספקים סביבת הרצה; השכבה הבאה היא הנתונים ומצב המערכת. חלק 2 עוסק בשישה שירותי אחסון ומסדי נתונים: S3, EBS, EFS, RDS, DynamoDB ו־ElastiCache, ובשיקולי עקביות, עמידות וביצועים. חלק 3 עוסק בשילוב יישומים באמצעות API Gateway, SQS, SNS, EventBridge ו־Step Functions. חלק 4 משלים את התמונה עם אבטחה, ניטור ותשתית כקוד: IAM, CloudWatch, CloudFormation ו־Secrets Manager.
- ◂ חלק 1: מחשוב ורשתות (המאמר שאתם קוראים)
- חלק 2: אחסון ומסדי נתונים ←
- חלק 3: שילוב יישומים ←
- חלק 4: אבטחה, ניטור ו־DevOps ←
המאמר המקורי באנגלית: https://www.sysseder.com/2026/05/aws-deep-dive-part-1-compute-networking.html
הערת עריכה: הגרסה העברית כוללת תיקוני דיוק לעומת המקור. שירותים, מכסות ועלויות נבדקו מול תיעוד AWS ב־25 באוקטובר 2026, ויש לבדוק שוב לפני פריסה. מקורות עיקריים: תמיכת Fargate ב־Windows · ניהול RDS לעומת חיבור למסד · מדיניות Route 53 · מכסת זמן של Lambda.