前言

在去年底的 re:Invent 上，AWS 發表了量子運算服務 Amazon Braket，這項服務終於在這個月正式發布了！這項新服務擁有高速運算速度可以幫助人類解決傳統電腦運算需要花上百萬年時間的難題，讓使用者無需投入大量的建置與維護成本，便能利用量子運算滿足龐大的運算需求。

另外，隨著宅經濟的興起，AWS 發布了 AWS Contact Center Intelligence，這項新服務包含了語音自助服務、即時分析、即時翻譯…等功能，不僅幫助客服能更精準地解決客戶問題，更帶給了客戶更好的服務體驗！

除了這些特別的新服務外，我們也會在文中跟介紹 Amazon EKS、EBS Provisioned IOPS volume、AWS Copilot CLI… 等，許多不同領域的服務更新及改動！

焦點新聞

量子運算服務 Amazon Braket 正式 GA

在 re:Invent 2019 上展示發表的量子運算服務 Amazon Braket，目前由 AWS 宣布從 Preview stage 正式發布 GA 使用。

在 Preview stage 時便有義大利國家電力公司 Enel、富達投資 Fidelity 和福斯汽車等企業開始使用，透過量子運算進行大數據分析，嘗試在當中挖掘出有用的資料。

Amazon Braket 由 D-Wave、IonQ 以及 Rigetti 提供量子運算設備，將量子電腦運算資源做整合，透過 AWS 雲端連接大量量子運算設備如 Quantum Processing Unit (QPU) 的方式來實現量子運算運作。這樣的合作模式，讓企業、學術機關、甚至政府單位如同雲端資源般，無需投入大量的建置與維護成本，便能使用量子運算滿足龐大的運算需求。

圖片來源至：Amazon Braket

使用者可以先行建立 Notebook 以 Jupyter 做演算法開發與編輯；接著選擇要使用量子運算供應商來做運算資源，並等待其運算成果。

參考來源至：Amazon Braket – Go Hands-On with Quantum Computing, Quantum computing is now available on AWS through Amazon Braket

AWS Lambda 支援以 Amazon Linux 2 作為 bootstrap runtime

隨著 Amazon Linux 將於 2020/12/30 終止長期維護 Long-term support (LTS)，並將在 2023 年停止服務，故正在鼓勵使用者將服務搬遷至 Amazon Linux 2 執行。Amazon Linux 2 為新一代的 Amazon Linux 作業系統，為 Application 提供高效能、穩定且安全的執行環境。

AWS Lambda 最新支援的 runtime java8.al2 也是建構在 Amazon Linux 2 的運作環境之上，下圖為目前 Lambda 不同的 runtime 所對應的 Amazon Linux 版本資訊：

使用者可以透過指定 runtime version 來決定要取用哪一個版本作為底層 OS 使用，若是自己打包的 Custom Runtime 則可以透過 provided.al2 來指定，以下為 AWS SAM Template 範例：

Resources:
  HelloWorldFunction:
    Type: AWS::Serverless::Function
    Properties:
      CodeUri: hello-world/
      Handler: my.bootstrap.file
      Runtime: provided.al2

圖片來源至：Migrating AWS Lambda functions to Amazon Linux 2

參考來源至：AWS Lambda now supports custom runtimes on Amazon Linux 2, Migrating AWS Lambda functions to Amazon Linux 2

Amazon EKS 支援以 EC2 Launch Template 創建 Managed Node Group

在早前使用者想要相對彈性的配置 nodes 至 EKS Control Plane ，只能透過 EC2 AutoScaling Group 並要在其 UserData 中配置 Control Plane 的資訊，再由使用者自行管理 nodes 的 AMI 汰換、Capacity 數量、機器的生命週期…等。

為了卸載掉使用者管理 nodes 的 workload，AWS 在去年底發布 EKS managed node group，同時 eksctl 也一起支援 provision，但其彈性仍不足以和 self-managed nodes 相匹配，如其 AMI 被綁訂在 Amazon EKS-optimized Amazon Linux 2。

現在使用者可以透過 EC2 kaunch template 來創建 EKS managed node group，讓使用者可以指定 Custom AMI、配置 EC2 UserData 來安裝 EKS Cluster 所需要的套件！CloudFormation、EKS Console、eksctl 等服務也同時支援以此方式來客製化 EKS managed node group。

以下為 eksctl template 範例：

managedNodeGroups:
  - name: managed-ng-custom
    desiredCapacity: 2
    minSize: 1
    maxSize: 4
    labels:
        role: nodes
        nodetype: managed-ng-custom
    launchTemplate:
        id: lt-0123456789abcdef
        version: "3"

參考來源至：Amazon EKS managed node groups now support EC2 launch templates and custom AMIs

ALB、CLB 防範 HTTP Desync 攻擊

在現今網頁架構底下，大都會以前後端分離實作 Front-end 與 Back-end，當使用者發起請求給 Front-end 後，便由 Frontd-end 轉發至 Back-end 做請求的處理，如下圖：

然而在 Front-end 轉發至 Back-end 之間若被埋了一個不正規的請求，如攻擊或是有害的 Content，會被當作是正常的請求一併轉發到 Back-end 做處理，如下圖：

這給了攻擊者機會，可以滲透至 Back-end 並嘗試下任意的指令、提權、或是破壞系統…等有害行為。類似的攻擊在 2005 年便已 HTTP Request Smuggling 請求走私被發現，現在則是以 HTTP Desync Attacks 的方式再次出現，詳細可以查閱影片 HTTP Desync Attacks: Smashing into the Cell Next Door – DEF CON 27 Conference。

HTTP Desync Attacks 以 HTTP/1.1 request header Content-Length 和 Transfer-Encoding 的內容字元長度、斷行符號與請求結尾，將要走私的請求埋藏於其中作為滲透手法。

AWS ALB/CLB 的結構底下，Load balancer 在轉發請求道後端 Server 之前，便會去檢查該請求是否符合 RFC 7230 內容，並依據安全性等級決定該請求的放行策略，以確保該請求當中沒有被埋入額外的內容，該實現方式為透過 AWS 開源項目 aws/http-desync-guardian，且已在所有 AWS regions 當中支援該防範功能。

在 ALB/CLB 的設定當中，使用者可以選擇 Desync mitigation mode 的等級：

個別等級針對有害請求的 Allow/Block 放行策略如下圖：

• Compliant — 符合 RFC 7230 且沒有安全威脅
• Acceptable — 不符合 RFC 7230 但沒有安全威脅
• Ambiguous — 不符合 RFC 7230、雖有風險但後端 Server、Proxy可以處理
• Severe — 高危險性，Load balancer 會 block 掉該請求，回覆 4xx 並關閉連線

圖片來源至：HTTP Desync Attacks: Request Smuggling Reborn, AWS Documentation – ALB Desnc Mitigation Mode

參考來源至：Application and Classic Load Balancers are adding defense in depth with the introduction of Desync Mitigation Mode

AWS Step Functions 改善 State Language 以加強處理邏輯

多了一些邏輯判斷、簡化State machine的寫法

AWS Step Functions 讓開發者可以以 Amazon States Language (ASL) 的方式來設計與串接 AWS Lambda、AWS Glue、AWS SageMaker 和 Amazon SNS 等服務，成為一個 Workflow 來做複雜邏輯、步驟的 Application。

ASL 是一種基於 JSON 的結構化語言，用來定義 State Machine 宣告該 Workflow 的邏輯與服務串接順序為何，並在流程之中的 Task 、輸出輸入、成功／失敗的狀態…等。

本次更新大幅簡化 ASL 寫法、提高 State Machine 的彈性，更新的特點有以下：

• Context Object 範圍不再侷限在前後，支援以 Global 調用
• JSON、String 彼此的型態轉換
• State Array 來載入、執行多個被定一在同一個 Task 中的內容參數
• Dynamic Timout – ASL 原先支援以 TimeoutSeconds 和 HeartbeatSeconds ，分別去指定 Task 執行時間與信號確認；現在則能透過參數、以邏輯的方式彈性地給予這兩個 Timeout 的時間點：

{
    "Type": "Task",
    "Resource": "arn:aws:states:::glue:startJobRun.sync",
    "Parameters": {
        "JobName": "GlueJob-0123456789ab"
    },
    "TimeoutSecondsPath": "$.body.maxTime",
    "HeartbeatSecondsPath": "$.body.heartBeat"
}

• Result Selector – 從 Task 執行結果做 Filter、重新打包之後再交給下一個步驟

{
    "Type": "Task",
    "Resource": "arn:aws:lambda:us-west-2:012345678912:function:demoFunction",
    "ResultSelector": {
        "TaskId.$": "$.body.ClusterId",
        "ResourceType.$": "$.resourceType"
    },
    "ResultPath": "$.Ooutput"
}

• Choice State
  • Comparison Operator – 檢查 Value 格式 JSON
{
"Variable": "$.body.value",
"IsNull|IsString|IsNumeric|IsBoolean|IsTimestamp": true|false
}
  • Existence Test – 檢查 Value 存在與否 JSON
{
"Variable": "$.body.value",
"IsPresent": true|false
}
  • Wildcarding – 支援萬用字元，如String的確認 JSON
{
"Variable": "$.body.value",
"StringMatches": "2020-08-*.txt"
}
  • Variable to Variable Comparison – 參數之間的比對 JSON
{
"Variable": "$.body.value",
"StringEqualsPath": "$.body.expectValue"
}

有關於更多 AWS Step Functions 如何運作、ASL 和各個 State 的描述，請參閱 AWS Documentation – AWS Step Functions。

參考來源至：AWS Step Functions adds support for string manipulation, new comparison operators, and improved output processing, AWS Step Functions adds updates to ‘choice’ state, global access to context object, dynamic timeouts, result selection, and intrinsic functions to Amazon States Language

AWS Contact Center Intelligence 發布

Call Center 隨著電商網站、宅經濟的興起，在 phone call 電話語音、 chat 線上即時聊天和 email 電子郵件等不同方式都相對的比以往更為忙碌，客服人員的負擔也隨之提升。

AWS Contact Center Intelligence 為一服務組合，可以讓使用者透過 AWS CCI Partner 將第三方的人工智慧功能整合到客服中心服務裡，一同打造了使用者語音自助服務、即時分析使用者來電以幫助客服人員更精準的回覆需求，以及依據使用者的通話分析來做流程體驗改善。使用者可以透過 AWS 機器學習的解決方案來提升處理效率並增進使用者的體驗，提供了：

• 文字轉語音 – Amazon Transcribe
• 即時翻譯 – Amazon Translate
• 企業級搜尋引擎 – Amazon Kendra
• 聊天機器人 – Amazon Lex, AWS Chatbot
• 文字語意解析 – Amazon Comprehend

使用者語音自助服務可以讓使用者透過聊天機器人，或用機器學習互動式語音回應，來解決比較常遇到的問題。也能夠整合聊天機器人做 FAQ ，或是以企業級搜尋引擎做事務性的查詢，甚至幫來電者解決預定活動或是重設密碼等。

即時分析使用者來電功能，可以提升客服人員的工作效率和參與度，除了即時翻譯、轉錄語音成文字外，也能透過 NLP 分析通話互動、偵測使用者的情緒，同時辨識其中的關鍵詞，大幅度的提升客服人員的服務精準度。

依據使用者的通話分析，除了對通話進行分析、將結果能夠回饋給產品或是服務流程，以改進流程體驗。

參考來源至：AWS announces Contact Center Intelligence solutions, https://aws.amazon.com/machine-learning/contact-center-intelligence/

EBS Provisioned IOPS volume (io2) – 增加原先 100 倍耐久性和 10 倍 IOPS/GiB

過去為了能達到應用程式所需要的 IOPS，可能會配置比預期還要高的 EBS 容量來達到足夠的 IOPS，此次更新後，這些超額配置將走入歷史。

新一代 Provisioned IOPS SSD (io2) 磁碟，相較於前一代磁碟 (io1)，IOPS 配比從 50 IOPS/GB 提高至 10 倍到 500 IOPS/GB；其耐久性更是提高 100 倍高達 99.999%，且與現有的 io1 磁碟價格相同。

綜上所述， io2 磁碟特別適合高效能需求、讀寫頻繁的應用場景，如 SAP HANA、Microsoft SQL Server、IBM DB2…等。

要將使用者的 io1 磁碟轉換至 io2 非常的簡單，你只需要：

• 前往 AWS Console 尋找 EC2、切換至 EBS 頁面
• 選擇現有的磁碟，點選 Modify Volume

• 選擇 Provisioned IOPS SSD (io2)

只需簡單幾步驟，立即提高資料耐久性與存取速度，還等什麼，趕快將現有的 io1 磁碟升級至 io2！

參考來源至：New EBS Volume Type (io2) – 100x Higher Durability and 10x More IOPS/GiB

其他服務更新

Amazon EKS on AWS Fargate 現在支援 Amazon EFS file 檔案系統

此次更新後，使用者可以在 Amazon EKS pods on AWS Fargate 掛載Amazon Elastic File System（EFS）檔案系統。AWS Fargate 利用EFS CSI driver 自動掛載在 Fargate 上運行的 Pods，無需手動安裝驅動程序。

參考來源至：Amazon EKS on AWS Fargate now supports Amazon EFS file systems

AWS Systems Manager Explorer 支援彙整 multi-account Support cases

使用者可以透過 AWS Support Center 向 Support 請求協助，但每個 Account 的 Support cases 是分開獨立開來的，當企業內部有多個 account 或是有一整個 Organization 在運作時，其實很常迷失在 account 當中且不易做 support cases 的管理。

現在可以透過 Systems Manager Explorer Dashboard 查看 Organization 當中所有 account 的 Support case 並加以做匯總，甚至可以匯出成 CSV，形成表格方便管理者了解 Account 與 Support case 的狀況，也可以結合 SNS，傳送通知到管理者的 Email 信箱或是 Mobile 裝置。

圖片來源至：AWS Documentation – AWS Systems Manager Explorer

參考來源至：AWS Systems Manager Explorer now provides a multi-account summary of AWS Support cases

AWS Copilot CLI 發布 v0.3 版本

AWS Copilot CLI 是一款於今年 7 月中發佈，可幫助使用者快速部署 ECS 環境的工具，Copilot CLI 依照 AWS 的 Best Practice 部署 ECS 所需的虛擬機（EC2 或是 Farget 類型）、網路環境（VPC、subnet 等等），讓使用者只需專注在應用程式的開發即可。

Copilot CLI v0.3 版本新增了可對 ECS 環境設定的參數，例如：可引入現行帳戶中已經存在的 VPC、subnet、CIDR 等等，不需創建一套新的環境。除此之外，使用者也可以透過 Copilot CLI v0.3 版本在建構環境時，以覆蓋式建構 ECS Service，修改先前 Service 的參數。

最後，使用者也可以運行單一 ECS Task，用於短暫性或是使用頻率較低的 workload，像是用於運行腳本的 Container，就適合使用一個 Task 來執行。目前 Copilot CLI v0.3 版本還在 Preview 階段，有興趣的使用者可參考官方 copilot-cli GitHub。

參考來源至：AWS Copilot CLI launches v0.3 focused on operations and configuration

AWS Certificate Manager (ACM) Private CA 支援分享給其他 AWS Account

在企業組織內部系統、或是僅透過企業私有網路環境做存取等規範，企業資訊人員時常會透過 Private CA、並利用該 Private CA 簽發 Certificate 憑證作 SSL/TLS 加密與驗證使用，並透過這種方式集中管理憑證的運作。

此次更新後，憑證管理員可以透過 AWS Resource Access Manager 創建 ACM Private CA 並分享給其他 AWS Account、或是 Organization 做使用，大大地減少了要在個別 Accounts 當中建立 Private CA 並彼此信任的成本，不僅降低管理層面的複雜度，也較容易控制各個帳戶使用憑證的權限。透過 ACM Private CA 發行出來憑證可以運作在像是 ELB、API Gateway、IoT 裝置…等做加密驗證。

範例流程如下：

1. 透過 ACM 創建 Private CA
2. 在 RAM 當中指定 ACM Private CA 為分享資源
3. 透過 RAM 分享 Private CA 給其他 AWS Account / Organization
4. 被分享的 Account 透過 ACM 指定該 Private CA 為簽發憑證下來使用

圖片來源至：How to use AWS RAM to share your ACM Private CA cross-account

參考來源至：AWS Certificate Manager Private Certificate Authority now supports Private CA sharing, How to use AWS RAM to share your ACM Private CA cross-account

AWS RoboMaker 推出 WorldForge 功能

隨著現代社會對於機器人的應用日趨複雜，用途也越來越廣泛，除了傳統產線上的裝箱機器人，一直到輔助醫療手術的機器人，每個機器人都有自己的應用場景，所以基本上開發者都會希望透過模擬環境來模擬機器人的運作狀況，以避免實際部署後會有錯誤發生。

而 RoboMaker 是一個由 AWS 託管的機器人開發平台，可在此進行模擬機器人的運行，並部署機器人應用程式。

然而在模擬環境的建置上，並非所有的使用者都擁有打造模擬環境的實務經驗，所以通常會額外請 3D 建模團隊來打造專屬的模擬環境，對於使用者在開發機器人的流程與成本上都是一大難題。

而此次更新後，RoboMaker 推出了 WorldForge 功能，提供使用者在 RoboMaker 的主控台中自行打造模擬環境。

使用者可以創建 World Template 作為機器人運作的模擬環境，除了可以選擇 RoboMaker 內建的範本外，還可以自己進行客製化，但目前 WorldForge 僅支援室內住宅相關的元件讓使用者進行選擇。

使用者可以直接選擇 RoboMaker 所提供的樣本，圖中的綠色圓柱體為模擬作業中機器人的起始位置。

當使用者選擇自定義 World Template 時，我們可以自行定義房間數量（如下圖中設定了兩間房間）、每間房間的大小、房間與房間之間是否相連、樓層數等相關設定。

在此我們設計了兩個房間（一間臥室、一間客廳），並將兩房連接在一起。

按下 Generate worlds 後，數分鐘後便可於主控台中查看使用者所打造的場景，使用者可以選擇將場景作為 Simulation Job 的模擬環境或者匯出至 S3 進行存放。

參考來源至：AWS RoboMaker WorldForge simplifies creating simulation worlds for robotics

Amazon Personalize 針對新產品的個人化推薦提高 50% 準確度

隨著現今產品多樣、汰換速度高的情境底下，對於企業來說，如果能夠準確向客戶展示符合個人化需求的新產品或內容，可有助於保持客戶的新鮮感，藉此保持客戶忠誠度，以優化銷售。以影音平台為例，當有新的影片、音樂上線，客戶會希望被推薦的項目是他們喜歡的影集或音樂類型，才能真正引起客戶的注意。

但是，由於缺乏有關新產品的歷史資料，例如：過往瀏覽紀錄、產品點擊率、使用者購買或訂閱此產品…等數據，因此新產品在個人化推薦上較難執行。在這種情況下，大多數推薦系統僅對它們具有足夠歷史數據的產品提供推薦，而忽略新產品。

此次更新後，Amazon Personalize 強調利用「過去使用者積極互動（點擊、購買等）類似產品的數據」來進行新產品的推薦，另外當有任何使用者開始與新產品互動，可幫助累積對於新產品相關的數據，進而用於調整未來推薦給其他使用者的頻率。透過上述的方式，可優化高達 50% 對於新產品推薦的準確度。

這項新的推薦方式，可以直接在 Personalize Recipe 找到，使用者可直接試用，不需額外支付任何費用。

參考來源至：Amazon Personalize can now create up to 50% better recommendations for fast changing catalogs of new products and fresh content

圖片來源至：AWS Blog – Amazon Personalize can now create up to 50% better recommendations for fast changing catalogs of new products and fresh content

Amazon IVS 支援 playback authorization 以管控可觀看影片的受眾

Amazon Interactive Video Service (IVS) 是近期新推出的服務，可幫助實現即時影片串流，並用於直播平台。此次更新後，IVS 透過 playback authorization 方式，決定開放給特定觀眾觀看，像是會員限定、私人影片…等直播內容，就可以利用 playback authorization 的功能來限定觀眾的權限。

當使用者在 IVS Channel 啟用 playback authorization 功能後，當觀眾想觀看該頻道裡的直播影片時，需要在 request 中帶有一組有效的 token，才可觀看直播影片。而這組 token 是使用者利用 IVS API 產生的非對稱式 key pair 簽出來的，使用者可以把 token 分配給已授權的對象，像是已註冊的會員，就可以授權只有會員可觀看。

當使用者有意想收回觀看影片的權限，可直接刪除當初的 key pair，就可以讓那些 token 失效，取消他人觀看的資格。

參考來源至：Amazon Interactive Video Service adds support for playback authorization

AWS CloudTrail Insights 提供使用者異常活動紀錄

CloudTrail Insight 現在可以幫助管理員關聯與異常 API 活動相關的使用者身份、User Agent 及錯誤代碼，可以在異常活動與正常活動期間，識別具有最高 API 活動權限的 IAM 使用者及角色。此功能可以幫助管理員分析異常狀態並採取相對應的措施，而無需手動尋找 CloudTrail 事件。

首先，該 AWS Account 至少需要在一個 Trail 上啟用 CloudTrail Insights，在 AWS Cloudtrail 控制台中選擇一個 Insights 事件以查看事件的詳細描述，並且在 Attribute 頁面中可查看最多五個關聯的用戶身份等資訊。

參考來源至：AWS CloudTrail now provides relevant user statistics to act on anomalies detected by CloudTrail Insights

AWS Transit Gateway 支援客製的 Prefix List 簡化路由管理

六月底起 VPC 可以透過新增 AWS Prefix Lists 來管控多個 CIDR Block 的路由方式及 Security Groups 設定，更容易控管在 AWS 環境中的路由行為。

此次更新後，當使用者與另一個 AWS 區域中的 AWS Transit Gateway 要做連接時，使用者可以創建一個客製的 Prefix List，利用這個 Prefix List 來配置 AWS Transit Gateway 路由表，當你增加新的 VPC 時，只需將 CIDR Block 指定為 Prefix List，將自動建立與新的 VPC 連接，不僅如此，也能透過 AWS RAM 與其他 AWS 帳戶共享 Prefix lists ，使其他帳戶能夠此引用 Prefix lists。

使用者在客製 prefix list，指定 IPv4 或 Ipv6 CIDR Block，數量沒有限制，同時也能上 Tag。

完成後，可以看到 Prefix List 的狀態及 CIDR Block 的詳細資料。

接下來可以從 Security Group 中選到 Prefix list，作為 rule 其中之一。

除此之外，也能在 Route Table 選取 Prefix list 作為路由。

參考來源：AWS Transit Gateway customers can now use their own Prefix Lists to simplify IP management

AWS Firewall Manager 支援設定 Load Balancer 上的 Security Group

AWS Firewall Manager 是一款安全管理工具，使用者可以跨各個帳戶中設定 AWS WAF 規則或其他安全性設定。適用於大型機構的安全管理員，撰寫單一規則即可適用於整個公司，除了受 AWS WAF 規則保護的所有應用程式，還能集中監控針對 Application Load Balancer 和 Amazon CloudFront 基礎設施的攻擊。

此次更新後，可以在 AWS Firewall Manager 上集中管理各個帳戶 ALB 及 CLB 的 Security Group，以確保是否有達到組織中所要求的合規，例如：使用者可以審核現有的 ALB Security Group，確保僅有認可的 IP 才能進入，同時也可以定義防火牆管理器 Policy，以指定設立 ALB 時必須要有 Security Group 規則。

參考來源至：AWS Firewall Manager now supports security groups on Application Load Balancers and Classic Load Balancers

AWS Site-to-Site VPN 支援新的加密演算法

AWS Site-to-Site VPN 讓多個地點的機器可以透過 Internet 在彼此之間建立安全連線，每當建立 Site-to-Site VPN 時，除了要安裝裝置的組態檔，也必須設定通道的資訊。

此次更新後，通道支援更多的演算法，提供使用者更多選項以符合安全性規定，下圖為支援演算法列表：

加密	Hash
AES 128	SHA-1
AES 256	SHA2-256
AES128-GCM-16	SHA2-384
AES256-GCM-16	SHA2-512

參考來源至：AWS Site-to-Site VPN now supports additional encryption, integrity and key exchange algorithms

Amazon Transcribe 支援可以在即時轉錄時標註不同講者

在一段語音中，可能不只有單一講者在說話，可能是一段對話的語音。先前 Transcribe 支援可以依不同講者，分辨在語音中分別講了什麼內容。此次更新後，使用者可在 Transcribe 進行即時轉錄（streaming transcription）時，分辨是否有多個講者，並標注各個講者所講述的內容。

這個功能可應用於即時字幕，Transcribe 可幫助為影片中各個講者加上各自的字幕，而不需要人工切分每一段文字是哪一位講者所說的話。

參考來源至：Amazon Transcribe now supports speaker labeling for streaming transcription