用途：在 AWS 上做架构设计时的实用指南，覆盖服务选型、VPC 设计、IAM 最小权限、无服务器模式、成本优化与监控，强调何时使用某服务而非仅讲用法。适用于在 EC2/ECS/Fargate/Lambda/App Runner 间选型、设计或评审 VPC 与安全组、编写 IAM 角色策略、设计无服务器应用、降本与预留实例/储蓄计划、配置 CloudWatch 告警与日志洞察、选择数据库、规划多区域高可用。不适用于与 AWS 无关的一般 Linux/Shell 脚本和云无关的 Kubernetes 内部机制。
核心理念：卓越运营要求基础设施即代码（CloudFormation、CDK、Terraform），变更可评审、可复现、可回滚；安全上最小权限，生产策略不用 *，静态用 KMS、传输用 TLS 加密，尽量用 VPC 端点；可靠性默认多可用区，先定义 RTO/RPO 再选数据库层级；性能上先合理配置再横向扩展；成本视为架构决策，打标签并用 Cost Explorer。
核心概念：区域含至少 3 个 AZ，有状态服务跨 2 个以上 AZ 部署。IAM 由 Principal、Policy、Role、Trust policy 组成，用角色而非用户，不在代码或 AMI 中硬编码访问密钥。计算谱系从 EC2、ECS on EC2、ECS Fargate、Lambda 到 App Runner，控制力递减、托管度递增；决策规则是先选 Lambda 或 Fargate，仅当需要 OS 控制、持久 GPU 或 Lambda 不支持的运行时才转 EC2。存储分 S3 各层级、EBS、EFS；网络以 VPC 隔离，子网限单 AZ，公有子网连 Internet Gateway，私有子网经 NAT 出网，安全组为有状态防火墙且默认拒绝。
常见任务：计算服务按工作负载选型；VPC 采用三层布局（公有、应用私有、数据库私有各三个子网，VPC 用 /16、子网用 /24）；IAM 从零权限起步，Resource 限定到具体 ARN；无服务器 API 常用 API Gateway + Lambda + DynamoDB，除非需要 WAF、API Gateway 缓存或请求响应转换，否则 HTTP API 更省；DynamoDB 先定义查询再做表单设计。成本优化包括预留实例、计算储蓄计划、Spot、合理配置、S3 智能分层、清理闲置资源，并设预算告警与成本分配标签。监控分指标、告警、仪表盘、日志三层，例如用 AWS CLI 创建 Lambda 错误率告警。
常见错误与陷阱：IAM 用 *、数据库放公有子网、硬编码凭证、生产单 AZ RDS、Lambda 不限并发、突发负载过度配置 EC2。RDS 创建后无法原地加密，需快照加密复制再恢复；Lambda 并发上限按区域账户共享，需设预留并发；NAT 网关按流量与小时计费，S3、DynamoDB 用 VPC 端点绕开；删除后重建同名 S3 对象的列表结果可能滞后；显式 Deny 在任何一层（SCP、权限边界、身份策略、资源策略）都覆盖 Allow。首次激活时可用 ls 检查已安装的配套技能，缺失时可用 npx skills add AbsolutelySkilled/AbsolutelySkilled --skill <name> 安装。