Tarragon

"Infra"

• 2026-10-25 GCP VM 的 SSH 與 RDP 改走 IAP 的實測紀錄：盤點、救援入口、IAP 規則與 IAM、停用舊規則驗證、OS Login 啟用與移除外部 IP 要把 GCP 專案裡對 0.0.0.0/0 開放 22 與 3389 port 的預設規則換成只放行 IAP，想照一次實跑過的順序做、看每一步沒做或換一種做法的結果時讀；也用在停用舊規則之後連不上、OS Login 啟用後有人登不進去，或拿掉外部 IP 之後要確認出站走了 Cloud NAT 的時候
• 2026-10-25 源站防火牆只放行 Cloudflare 位址的實測紀錄：firewalld、Docker 發佈的連接埠、DOCKER-USER、nftables 表與出站 DNS 要在 Linux 主機上設定只放行 Cloudflare 位址的防火牆、確認 Docker 發佈的連接埠有沒有繞過 firewalld、在 DOCKER-USER、StrictForwardPorts 與 nftables 表之間選一種限制容器的來源、或限制出站 DNS 時，查 Oracle Linux 10 上實際跑過的指令、輸出，以及規則在重新載入、dockerd 重啟與重開機之後還在不在
• 2026-10-24 Oracle Cloud 主控台導覽：頂端列、導覽選單的分類、清單頁的 compartment 篩選器與常用頁面的路徑 Oracle Cloud 主控台頂端列各個按鈕（導覽選單、搜尋、區域、Cloud Shell、人像選單）做什麼，導覽選單各分類底下有哪些項目，清單頁的 compartment 篩選器，以及建立主機、網路、Bastion、預算、稽核紀錄、配額這些常用頁面在選單上的實際路徑
• 2026-10-24 位置：區域、可用區與故障域 雲端主機的區域、可用區與故障域各自代表多大的範圍、各自決定主機的哪些性質（延遲、出口 IP 的國家、可用機型與容量、硬體故障的影響範圍），以及哪一層建立後就不能改
• 2026-10-24 雲端免費額度與小型主機的收費比較：試用金與固定額度、計費單位、區域限制、試用結束後的處置、出站流量與查價項目 Oracle Cloud、Google Cloud 與 AWS 的免費方案分別由哪幾種額度組成，比較時要換算的計費單位，免費主機能放在哪些區域，試用期結束後帳號與資源會怎樣，以及付費主機的價格該去哪裡查
• 2026-10-23 GCP VM 的 SSH 與 RDP 管理通道：從預設的全開規則改走 IAP TCP forwarding GCP 預設網路自帶的防火牆規則與它們留下的暴露面、IAP TCP forwarding 的連線路徑與日常連線指令、切換到 IAP 的順序為什麼這樣排、IAP 通道連不上時的依層判讀，以及 IAM 授權範圍、OS Login 的啟用條件與工作階段的結束、拿掉外部 IP 之後的出站路徑、Organization Policy、階層式防火牆、稽核紀錄與 Security Command Center 的 OPEN_SSH_PORT finding 在 GCP 上的處理
• 2026-06-26 IaC 工具選型與 state 地基 Terraform / OpenTofu / CDK / Pulumi 的選型標準，state 作為 IaC 工具對現實的唯一記憶，以及 remote state backend 的自管與託管路線
• 2026-06-26 infra 走 PR 流程與自動化護欄 infra 變更走 PR → plan → review diff → 合併 → apply，配 fmt / validate / tflint / checkov / tfsec 與 Atlantis 自動化，讓基礎設施可審查、可回溯、可交接
• 2026-06-26 Infrastructure as Code (IaC) 用程式碼描述基礎設施的最終狀態，由工具負責收斂現實與描述的差異
• 2026-06-26 Tagging 規範與 Secrets 不進 code tag 讓資源可盤點、可清理、可歸屬；密鑰存在專用服務裡而非 code 或 state，兩者都屬於 day-1 就該立的治理地基
• 2026-06-26 升級的共通操作框架 任何環境或系統升級的四階段模型：差異評估、平行環境驗證、分批切換、退役舊環境，以及貫穿全程的升級紀律
• 2026-06-26 手動環境的可控底線與納管準備 還沒有 IaC 的環境怎麼守住底線、讓變更可追溯、降低未來納管成本，以及辨識何時該開始導入 IaC
• 2026-06-26 可觀測性與 log 同生命週期管理 log group、metric、alarm 寫進建立資源的同一套 IaC，讓監控跟資源同生共滅，出事時追得到查得到
• 2026-06-26 身分與存取憑證地基 — IAM 模型、OIDC 短期憑證與權限邊界設計 IAM 的 identity / policy / role 三元件、最小權限的持續收斂、用 OIDC 取代長期 access key，以及 SCP 與 Permissions Boundary 的環境隔離
• 2026-06-26 部署順序與資料庫上 IaC 核心服務的依賴圖決定部署順序，資料庫作為第一批上層服務需要最謹慎的 IaC 描述 — 涵蓋 RDS 接線、連線管理、read replica 與端點暴露
• 2026-06-26 無 SSH 的 FTP / 面板管理環境接管 接手一個只有 FTP 和 phpMyAdmin（或 cPanel / Plesk）存取的 PHP 專案：沒有 SSH、沒有 CLI 時，怎麼盤點現況、建立本地開發環境、制定部署與資料庫變更紀律，以及找到升級路徑的切入點
• 2026-06-26 給非工程背景決策者的 infra 說明 從管理視角解釋基礎設施在解決什麼營運問題、不做的代價、出事怎麼處理，讓參與資源決策的人能判斷投入的優先級
• 2026-06-26 雲端部署裡已經存在的 infra 元件 VPC、security group、IAM、儲存 — 這些元件在任何雲端部署裡都已經在運作，差別在於有沒有被有意識地管理
• 2026-06-26 網路地基 — VPC、subnet 分層與 security group 設計 VPC CIDR 規劃、public / private subnet 切分、route table 與 NAT 的可用性成本取捨、security group 最小開放設計，以及 NACL 的定位
• 2026-06-26 環境分離與模組化 — 目錄結構、module 參數化與 retrofit 路徑 用目錄結構在第一天就隔開 dev 與 prod 的 state，用 module 讓環境共用同一套邏輯只差參數，以及已經單環境跑起來後怎麼安全拆分
• 2026-06-26 斷網環境的通用原則 離線套件管理、內容搬運、變更追蹤的共通操作模式 — 所有斷網情境都要先建立的基礎能力
• 2026-10-26 ufw 主機上 Docker 發佈連接埠的實測紀錄：ufw 規則的效果、DOCKER-USER 規則的存續與 after.rules、IPv6 的 docker-proxy、compose 內建 DNS 的出站路徑 在 Ubuntu 的 ufw 主機上用 Docker 發佈連接埠、想只放行 Cloudflare 的位址、或想限制容器送出的 DNS 查詢時，查 ufw 規則對發佈連接埠的效果、DOCKER-USER 規則在 reload 與重開機之後還在不在、IPv6 那一份發佈由誰接收，以及 compose 容器的 DNS 封包從哪裡送出
• 2026-10-25 GCP 上 MIG 與 GKE 管理存取的實測紀錄：instance template 與 canary 滾動更新、重建與主機金鑰、kubectl debug 的 namespace、node pool 設定與控制平面端點的切換 要把 IAP 的 tag、OS Login 與移除外部 IP 套到 MIG 或 GKE 上，想照一次實跑過的順序做、看每一步換一種做法的結果時讀；也用在 MIG 重建之後 SSH 出現 REMOTE HOST IDENTIFICATION HAS CHANGED、kubectl debug 停在等待，或關掉 GKE 控制平面的 IP 端點之前要確認每個人都改連的時候
• 2026-10-24 Oracle Cloud 的帳號結構與 home region：tenancy、Always Free 的範圍與主控台登入欄位 OCI 的 tenancy、home region、compartment 與 availability domain 各自管什麼，home region 為什麼在申請當下就要決定，Always Free 額度的計算與回收規則，以及主控台登入時租用戶與使用者名稱兩個欄位的分工
• 2026-10-24 機型與映像檔：CPU 架構、核心與記憶體、計費模式與作業系統 雲端主機的機型決定的 CPU 架構、核心與記憶體，計費模式（隨用隨付、可被收回、預留容量、專屬主機）各自的條件，映像檔與機型之間的架構相容性，以及哪些項目建立後可以調整
• 2026-10-23 GCP 上由 MIG 與 GKE 管理的 VM 的管理存取：instance template、node pool、kubectl debug 與控制平面存取 VM 由 managed instance group 或 GKE node pool 管理時，管理通道的設定為什麼要寫在 instance template 與 node pool 而不是逐台修改、MIG 救援用重建、退回 template 與 Serial Console 各自適用的情形、GKE 的控制平面與節點兩個存取面、kubectl debug 取代節點 SSH 的權限邊界（RBAC 與 Pod Security Admission），以及 GKE 控制平面三種端點（authorized networks、DNS-based endpoint 與 private endpoint）的差別
• 2026-06-26 Console 唯讀鐵律與最小可行資源集合 Console 只用來看不用來改的操作紀律、drift 的延遲浮現與偵測，以及能跑出第一個完整 apply 迴路的最小資源集合
• 2026-06-26 infra 投資的商業論證 用成本、風險、速度三條論述線把 infra 投資翻譯成商業語言，附一頁簡報邏輯與常見反對意見的回應
• 2026-06-26 Runtime 版本升級 PHP / Node.js / Python 大版本升級的相容性評估、本地驗證、分批部署策略與常見陷阱
• 2026-06-26 Security Group 稽核與清理 盤點所有 security group 規則、找出 0.0.0.0/0 全開與未使用的 SG、依賴檢查後安全刪除、自動化治理
• 2026-06-26 State（IaC 狀態檔） IaC 工具用來記錄每個納管資源在雲端真實樣貌的快照，是比對差異與排定操作順序的依據
• 2026-06-26 Terraform CI Pipeline 設定指南 用 GitHub Actions 建立完整的 Terraform CI pipeline：fmt → validate → tflint → plan → PR comment → apply，含 OIDC credential 與環境保護規則
• 2026-06-26 成本可見性與最小可行治理節奏 用 tag 驅動的成本分攤讓帳單有人負責，以及判斷什麼治理該 day-1 就立、什麼等規模逼出來再加
• 2026-06-26 有 SSH 但沒有 IaC 的雲端環境接管 接手一個全手動建立的雲端環境時，怎麼盤點資源、推導依賴關係、收斂 credential、驗證備份、建立變更紀律，以及什麼時候該開始導入 IaC
• 2026-06-26 從單一環境到環境分離：infra 需求的浮現過程 單一 EC2 + RDS 的結構在需要測試環境、多人協作時會撞到哪些操作極限，以及環境分離怎麼牽出身分、網路、變更流程等後續 infra 關注點
• 2026-06-26 單環境到多環境的 Retrofit 操作手冊 把已經跑在單一環境的 Terraform 設定拆成 module + per-env 目錄結構的完整操作步驟，含 moved block、zero-change plan 驗證與常見陷阱
• 2026-06-26 跨帳號策略 — Organizations、SCP 與帳號工廠 用 AWS Organizations 把環境拆成獨立帳號、用 SCP 設定連管理員都越不過的護欄、用帳號工廠讓每個新帳號自帶安全基線
• 2026-06-26 運算平台上 IaC — ECS 與 EKS 容器運算平台的 IaC 描述：ECS 與 EKS 選型、task definition 與映像版本解耦、IAM task role 分離、auto-scaling 策略
• 2026-06-26 斷網環境的 IaC Terraform provider mirror、離線 plugin cache、本地 state backend、沒有雲端時的 plan/apply 流程與內網 CI
• 2026-10-26 Podman 與 rootless Docker 發佈連接埠的實測紀錄：rootful Podman 在 ufw 與 firewalld 上的轉送路徑、rootless Docker 與 rootless Podman 由主機程式接收的連接埠與容器看到的來源位址 用 Podman 或 rootless 模式的 Docker 發佈連接埠、想知道 ufw 或 firewalld 的規則管不管得到、或想在容器裡拿到連線的真實來源位址時，查 rootful Podman 在 ufw 與 firewalld 上的不同結果、rootless 模式接收連線的路徑，以及容器看到的來源位址
• 2026-10-24 從本機用 OCI CLI 操作 Oracle Cloud：session token 登入、時效與 API 簽章金鑰 OCI CLI 的兩種身分驗證方式——瀏覽器登入換來的 session token 與上傳公鑰的 API 簽章金鑰——各自把什麼存在本機、有效多久、外洩時的影響範圍，以及登入時的互動提示與錯誤訊息怎麼讀
• 2026-10-24 雲端主控台的管理領域：身分、資源分組、運算、網路、儲存、費用、監控、稽核、安全服務與配額 雲端業者的主控台依管理需求分成幾個領域：每個領域管什麼、日常在那裡做哪些事、新帳號開好之後先去哪幾個領域看設定，以及 Oracle Cloud、Google Cloud、AWS 各自把它放在選單的哪個名稱底下
• 2026-10-24 網路：subnet、私有 IP、公開 IP 與防火牆規則 雲端主機建立頁網路區塊的選項：主機放進哪個虛擬網路與 subnet、私有 IP 與公開 IP 各自的用途與生命週期、防火牆規則掛在 subnet、網卡與作業系統哪一個位置以及各家怎麼合併，以及主控台新建的網路預設對外開放了什麼
• 2026-07-20 流量入口層 — 請求怎麼從使用者到達應用 自管環境要決定請求從使用者到應用經過哪幾層入口、每層承擔什麼——TLS 終結的位置、動靜分離、單機 reverse proxy 與雲端負載平衡器的選擇
• 2026-06-26 checkov 與 tfsec 規則配置 靜態掃描工具的規則選擇策略、自訂規則、豁免管理、false positive 處理與 CI 整合，讓掃描從噪音來源變成可信的品質關卡
• 2026-06-26 Drift（設定漂移） IaC 的 state 與雲端實際狀態之間的不一致，通常因為有人繞過 IaC 直接在 Console 改設定
• 2026-06-26 infra 的責任邊界、成熟度階梯與 day 1 鐵律 基礎設施承擔五個面向的責任，每一面都有獨立的失效模式；成熟度階梯用來對齊現況而非追求滿分，day 1 鐵律則劃出早期團隊該優先鋪的地基
• 2026-06-26 平台遷移 FTP 面板主機到 VPS、VPS 到雲端、地端到雲端的遷移路徑 — 資料同步策略、DNS 切換、驗證與回退
• 2026-06-26 有半套 IaC 但文件缺失的環境接管 IaC 覆蓋不完整、部分資源在 state 外、文件缺失的環境怎麼盤點差距、修復 state 健康、收斂 drift 並重建文件
• 2026-06-26 怎麼把 infra 推動起來 — 信任赤字、期望值對齊與知識共享 技術正確不等於推得動 — infra 在商業優先級裡吃虧的結構性原因，以及用可回退切片、期望值對齊與知識分散來跨過組織關卡
• 2026-06-26 團隊權限分級與存取管理 用 admin / operator / viewer 三級劃分團隊成員的雲端操作權限，設計臨時提權流程、定期 access review 節奏，以及 contractor 與外部 vendor 的存取邊界
• 2026-06-26 儲存上 IaC — S3 bucket 的安全與生命週期 S3 bucket 的加密、版本控制、公開存取封鎖、生命週期規則、bucket policy 與事件通知怎麼寫進 IaC，讓儲存的安全與成本防線可審查可追蹤
• 2026-06-26 斷網環境的容器與映像管理 Private registry 架設、映像搬運（docker save/load、skopeo）、base image 更新週期、離線漏洞掃描
• 2026-06-26 職務交接與存取撤銷設計 人員異動時的存取撤銷順序、credential rotation、最小交接清單，以及讓交接成本結構性降低的 infra 設計原則
• 2026-10-26 Cloudflare 回源的實測紀錄：Oracle Cloud NSG 只放行 Cloudflare 位址與規則數上限、回源的來源位址、Authenticated Origin Pulls、Worker 偽造 CF-Connecting-IP 與 Tunnel 的出站連接埠 源站要放在 Cloudflare 後面、想確認只放行 Cloudflare 位址的雲端防火牆放不放得下整份清單、回源實際用哪些位址、Authenticated Origin Pulls 怎麼驗證、Cloudflare Worker 能不能穿過這道防火牆並偽造 CF-Connecting-IP、或 Tunnel 要開哪些出站連接埠時，查 Oracle Cloud 與 Cloudflare 免費方案上實際跑過的指令與輸出
• 2026-10-24 登入：SSH 金鑰、預設使用者、建立後加金鑰與不放金鑰時的登入服務 雲端主機建立頁 SSH 金鑰欄位的幾個選項（讓業者產生、上傳、貼上、不放金鑰）各自把什麼放進主機、私鑰由誰保管，映像檔決定的預設使用者名稱，建立之後還能不能加金鑰、金鑰遺失時剩下哪些入口，以及完全不放金鑰時靠業者的哪些服務登入
• 2026-10-23 伺服器管理通道的設計：網路可達性、通道授權、主機登入驗證三層的做法與選擇，以及救援入口 與雲端廠商無關、適用於雲端 VM、地端主機與 VPS 的管理員登入通道設計：拆成網路可達性、通道授權與主機登入驗證的模型，各層的做法（來源白名單、跳板機、VPN、身分感知代理、代理程式反向連線、SSH 憑證）、更換 port 與 fail2ban 改不了的部分，依存取者身分、連線送達方式、收回方式選擇組合的依據，以及移除公開 IP 之後的出站路徑、切換順序、救援入口、組織護欄與稽核
• 2026-06-26 Access Key 輪替手冊 從 credential report 盤點散落的長期 access key，到逐把輪替、自動化輪替與 key age 監控的完整操作步驟
• 2026-06-26 VPC（Virtual Private Cloud） 雲端帳號內的一塊邏輯隔離私有網段，是所有網路切分的起點與容器
• 2026-06-26 入口上 IaC — ALB、TLS 與健康檢查 Application Load Balancer 的 listener、target group、健康檢查閾值設計，以及用 ACM 把 TLS 憑證的簽發、驗證與掛載整條鏈寫進版本控制
• 2026-06-26 資料庫大版本升級 MySQL 5.7→8.0、PostgreSQL 13→16 等大版本升級的相容性評估、備份保險、平行驗證、切換策略與升級後監控
• 2026-06-26 斷網環境的監控與可觀測性 Self-hosted 監控（Prometheus + Grafana）、離線 log 收集（Loki / ELK）、不能 phone home 的告警、NTP 時間同步
• 2026-10-25 CDN 後面的源站主機防火牆：只放行 CDN 來源的位置與套用時機、Docker 發佈連接埠的封包路徑、出站 DNS 的限制與地理封鎖 網站放在 CDN（例如 Cloudflare）後面時，源站主機的入站與出站限制：請求避開 CDN 直連源站的成因、來源限制放在雲端防火牆、主機防火牆或 CDN 端驗證的差別、只放行 CDN 位址的套用時機、Docker 發佈的連接埠繞過 ufw 與 firewalld 的路徑與各種限制寫法、CDN 位址送來的請求為什麼不等於 CDN 替自己的網域轉送、出站 DNS 限制的效果與漏洞、地理封鎖放在 CDN 邊緣的理由
• 2026-10-24 Oracle Cloud 建立主機的實測紀錄：建立前的檢查、前置網路、主控台各分頁的 Always Free 設定值、等效的 CLI 指令、容量不足的重送、Bastion 工作階段逾時、Run Command 補公鑰的嘗試與重建後經由 port forwarding 登入 要在 Oracle Cloud 建一台沒有公開 IP、經由 Bastion 登入的 Always Free A1 主機，想照一次實測重做、看建立頁每一欄的取值與換一種做法的結果時讀；也用在建立請求一直回容量不足、managed SSH session 建立逾時，或沒放公鑰的主機想用 Run Command 救援、Oracle Linux 10 的主機上找不到 Bastion plugin、想改用 port forwarding session 登入的時候
• 2026-10-24 磁碟：開機磁碟與區塊磁碟的大小、效能、加密與去留 雲端主機的磁碟選項：開機磁碟的大小與只能加大的限制、效能等級與費用的關係、靜態加密與傳輸中加密、另外掛載的區塊磁碟，以及刪除主機時開機磁碟是否預設一起刪除
• 2026-06-30 拿到雲端帳號的第一天 被指派 infra 工作、拿到 AWS 或 GCP 帳號、不確定該先做什麼時讀 — 第一小時安全底線、帳號現況判讀、後續學習路線分流
• 2026-06-26 OIDC Trust Policy 設定指南 GitHub Actions 與 AWS 之間的 OIDC 聯合設定：建立 provider、設計 trust policy 的 claim 收斂、plan 與 apply role 分離、常見錯誤排查
• 2026-06-26 OS 與基礎軟體更換 EOL 作業系統的遷移評估、目標 OS 選型、原地升級 vs 平行建置的取捨、應用層遷移清單，以及 Apache → nginx 等基礎軟體切換的操作要點
• 2026-06-26 Stateful 資源保護與跨服務依賴表達 stateful 資源的保護策略（multi-AZ、備份、刪除保護）、stateful 與 stateless 的操作差異，以及用 output 與 data source 表達服務間依賴
• 2026-06-26 Subnet（子網路） VPC 內按可用區與暴露程度切出的子網段，決定資源有沒有一條通往網際網路的路徑
• 2026-06-26 斷網環境要自建的服務清單 正常環境消費的 SaaS（GitHub、Docker Hub、npm、Datadog）在斷網環境全部要自建 — 服務清單、選型、部署順序、統一管理取捨與維護的隱藏成本
• 2026-10-26 Oracle Cloud 私有子網路 Ubuntu 主機的實測紀錄：套件來源的出站（NAT gateway、路由與 NSG）、序列主控台的連線，以及被回收之後的重建 要在 Oracle Cloud 沒有公開 IP 的私有子網路裡跑一台 Ubuntu 主機、讓它裝得到套件更新，或要經由序列主控台看主機的開機過程，或主機被閒置回收、停止或刪除之後要照原樣重建，或想知道 NAT gateway 要不要另外付費、開機磁碟扣掉多少區塊磁碟額度、合計超過 200 GB 時放不進額度的那一顆怎麼算、怎麼用 quota 擋下超額的建立、線上加大開機磁碟超過額度時怎麼算、空出額度之後付費磁碟多久轉成免費時，查實際跑過的指令、錯誤原文、重建腳本與每一步的讀法
• 2026-10-24 代理程式、中繼資料服務、初始化腳本、維護行為與標籤 雲端主機建立頁管理區塊的選項：業者裝在主機裡的代理程式與它的 plugin 怎麼決定開關、中繼資料服務的第二版存取驗證、開機時執行的初始化腳本、底層硬體維護時主機會被遷移還是重開，以及標籤
• 2026-10-23 OpenSSH 內建 CA 的 SSH 憑證導入：CA 金鑰、sshd 設定、簽發、principal、撤銷與主機憑證 用 OpenSSH 自帶的 ssh-keygen 與 sshd 建立 SSH 憑證的完整流程：使用者 CA 與主機 CA 的金鑰怎麼產生與保管、sshd 的 TrustedUserCAKeys 與 AuthorizedPrincipalsFile、簽發時的識別字串與有效期、憑證外洩時用 KRL 撤銷，以及用主機憑證取代逐台確認指紋，以及導入順序與兩個會讓所有人登不進去的設定：AuthorizedPrincipalsFile 的讀取權限、RevokedKeys 指的檔案不存在
• 2026-06-26 ACM 憑證、DNS 與 HTTPS 設定 從 Route 53 hosted zone 到 ACM 憑證申請、DNS 驗證、ALB HTTPS listener 與 HTTP 重導的完整設定流程
• 2026-06-26 Security Group 掛在資源網卡層級的有狀態防火牆，逐埠決定哪些來源能連進這個資源
• 2026-06-26 斷網環境的版本控制與 CI/CD 在沒有 GitHub、沒有 Docker Hub 的隔離網路裡，怎麼部署版本控制、設定 CI runner、跨邊界傳輸 commit、以及讓 PR review 流程運作
• 2026-10-27 Oracle Cloud 主機的暫停與恢復上線實測紀錄：暫停前的基準、收窄入口、停止主機、停止期間的計費與 Cloudflare 的回應、恢復上線的每一步與耗時，以及收尾時 DNS 紀錄與主機的刪除順序 要讓 Oracle Cloud 上一台放在 Cloudflare 後面的主機停機一段時間再恢復上線、想知道停止之後公開 IP 留不留、停止期間 A1 與開機磁碟怎麼計費、Cloudflare 回什麼錯誤、恢復時每一步要多久，或服務要收掉時 DNS 紀錄與主機的刪除順序時，查實際跑過的指令、輸出與量到的時間
• 2026-10-24 安全開機：Secure Boot、Measured Boot 與 TPM 雲端主機的開機保護選項：Secure Boot 檢查什麼、Measured Boot 與 TPM 記錄什麼、三者在 Oracle Cloud 上建立後不能修改的限制、與機密運算互斥、維護時不能遷移，以及實驗主機要不要開
• 2026-06-26 ECS Fargate 成本分析與優化 Fargate 的計價模型、與 EC2 launch type 的成本交叉點、Spot 與 Savings Plans 的折扣機制、task 規格的 rightsizing 方法，以及何時該切回 EC2
• 2026-06-26 NAT Gateway private subnet 或沒有外部 IP 的 VM 要主動對外連線、評估 NAT 的數量與出站成本、或在 AWS 與 GCP 之間對照出站做法時，查 NAT Gateway 的職責、部署模式與取捨
• 2026-06-26 斷網環境的套件與容器映像 Registry 斷網環境裡每一個 apt install、npm install、docker pull 都需要內部來源 — 用 Nexus Repository 統一管理套件、用 Harbor 管理容器映像、建立定期搬運與安全掃描的更新週期
• 2026-10-25 建立主機之前的檢查：建好就改不了的設定、登入路徑上各服務的支援組合、兩條登入路徑各自依賴的元件，以及容量稀缺時的取捨 在建立頁按下建立之前，把位置、機型與映像檔、網路、登入、安全開機各篇的選項串成幾項檢查：哪些設定建立之後只能重建、怎麼查，登入用的業者服務各自支援哪些機型與作業系統、元件狀態正常為什麼不代表支援，兩條登入路徑各自依賴哪些元件、哪些仍然共用，以及機型容量難取得時設定怎麼選；Oracle Cloud、Google Cloud 與 AWS 各自查這些事的位置
• 2026-06-26 OIDC Federation（OIDC 聯合） 讓 CI/CD 平台用短期 token 取代長期 access key 存取雲端資源的身分聯合機制
• 2026-06-26 斷網環境的基礎服務：DNS、NTP、CA 與 Secret Management 斷網環境裡其他所有服務的前提——內部 DNS 做名稱解析、NTP 做時間同步、內部 CA 簽發 TLS 憑證、Vault 管理機密值。這四個服務先部署、其他才能跟上。
• 2026-06-26 Environment Separation（環境分離） 把同一套基礎設施定義複製成多份隔離的執行實例，各有獨立 state 與故障半徑
• 2026-06-26 斷網環境的資安與權限控管 斷網環境的威脅模型從外部攻擊轉向內部人員與供應鏈——實體安全、離線認證、稽核日誌、更新延遲窗口、跨邊界傳輸審查各有專屬的操作方式
• 2026-06-26 CloudTrail AWS 的 API 層稽核日誌服務，記錄誰在什麼時候對什麼資源做了什麼操作
• 2026-06-26 無 SSH 環境的資料庫備份與變更管理 在只有 phpMyAdmin 或有限遠端連線的無 SSH 環境裡，怎麼建立可靠的資料庫備份策略、schema 變更紀律與還原演練流程
• 2026-06-26 ECS AWS Elastic Container Service — 受管的容器編排服務，用 task definition 描述容器配置、由平台負責排程與健康管理
• 2026-06-26 程式碼版控與 FTP 部署紀律 無 SSH 環境的 PHP 專案的程式碼怎麼從 FTP 拉回來建 Git repo、設定檔怎麼分離、FTP 部署怎麼建立可追蹤的流程、以及怎麼用 CI 取代手動上傳
• 2026-06-26 ALB Application Load Balancer — 流量進入系統的第一站，負責 listener 路由、健康檢查與 TLS 終結
• 2026-06-26 Legacy PHP 的安全盤點 接手 legacy PHP 專案後的系統性安全審查：credential 掃描、PHP 版本風險、常見漏洞模式的 grep 偵測、.htaccess 防線、檔案權限、外部依賴與掃描工具
• 2026-06-26 CIDR（Classless Inter-Domain Routing） 用前綴長度表示 IP 地址範圍的表示法，決定 VPC 與 subnet 的地址空間大小
• 2026-06-26 無 SSH 環境的監控與告警 無 SSH 環境沒辦法裝 agent、沒辦法串 log pipeline，用外部 HTTP check、錯誤追蹤服務與效能基線建立最低成本的監控能力
• 2026-06-26 IAM（Identity and Access Management） 雲端平台的授權系統，回答「某個身分能不能對某個資源做某件事」
• 2026-06-26 Route Table 掛在 subnet 上的流量轉送規則，決定封包離開 subnet 後往哪走
• 2026-06-26 SCP (Service Control Policy) AWS Organizations 層級的權限天花板，套用到 OU 後連管理員都越不過
• 2026-06-26 Remote State Backend 把 Terraform state 從本地搬到團隊共享儲存的機制，同時滿足持久保存、並行鎖與敏感值保護
• 2026-06-26 Trust Policy IAM role 的信任關係設定，規定哪個身分被允許 assume 這個 role
• 2026-06-26 Deletion Protection 雲端平台提供的防誤刪機制，開啟後刪除操作需要先顯式關閉保護才能執行
• 2026-06-26 checkov 開源的 IaC 靜態安全掃描工具，在不建立資源的前提下比對已知的壞寫法與安全反模式
• 2026-06-26 State 修復與清理 接手的 Terraform state 損壞、有 orphaned entry、或需要搬遷時，怎麼診斷問題、安全操作、以及從錯誤中回復
• 2026-06-26 Drift 分類處理指南 接手半套 IaC 環境時，怎麼讀 plan 輸出分類 drift、判斷保留還是回退、處理 stateful 資源的高風險漂移，以及批次收斂的工作流
• 2026-06-26 Fargate AWS ECS 的無伺服器執行模式，由 AWS 代管運算實例，不需要管 EC2 capacity 或 AMI 更新
• 2026-06-26 phpMyAdmin Web 介面的 MySQL / MariaDB 管理工具，透過瀏覽器操作資料庫
• 2026-06-26 Unmanaged Resource 批次 Import 工作流 把 Terraform state 外的雲端資源有系統地納入 IaC 管理：優先序判斷、import block 語法、generated HCL 的 review 要點、批次策略與常見失敗處理
• 2026-06-26 FileZilla 跨平台的 FTP/SFTP client，提供目錄同步瀏覽和檔案比較功能
• 2026-06-26 兩套真相並存的過渡期操作 部分資源在 IaC、部分在手動時，怎麼安全操作避免比全手動更危險，以及怎麼縮短這個過渡期
• 2026-06-26 cPanel Web 主機管理面板，提供 PHP 版本切換、cron、email、SSL、備份等功能的圖形介面
• 2026-06-26 .htaccess Apache Web Server 的目錄層級設定檔，控制 URL rewrite、存取權限、PHP 設定覆寫與安全標頭
• 2026-06-26 .env 存放環境變數的純文字檔案，把機密值從程式碼分離出來
• 2026-06-26 php.ini / .user.ini PHP 的執行期設定檔，控制記憶體上限、上傳大小、錯誤報告等 runtime 行為
• 2026-06-26 DNS Domain Name System — 把域名轉成 IP 位址的系統，以及 A record、CNAME、NS、TTL 的角色
• 2026-06-26 SSL / TLS 加密 client 與 server 之間通訊的協定，讓 HTTPS 成為可能。TLS 是 SSL 的後繼者，但 SSL 憑證的稱呼仍廣泛使用
• 2026-06-26 SSH Secure Shell — 加密的遠端 shell 連線，有 SSH 等於有 CLI 工具鏈，沒有就只能靠 FTP 和 web 面板
• 2026-06-26 FTP File Transfer Protocol — 檔案傳輸協定，無 SSH 環境的主要檔案管理方式。SFTP 和 FTPS 是其加密變體
• 2026-06-26 cron Unix/Linux 的排程工作系統，按時間表自動執行指令。接手維運時要盤點所有 cron job
• 2026-06-26 nginx 高效能 Web Server 與 Reverse Proxy，以集中設定檔取代 Apache 的 .htaccess 分散設定
• 2026-06-26 MySQL 最廣泛使用的開源關聯式資料庫。MariaDB 是其社群分支。大版本升級（5.7→8.0）有認證方式和查詢行為的 breaking change
• 2026-06-26 RDS AWS 的受管關聯式資料庫服務，代管備份、更新與 failover，讓使用者專注在 schema 和查詢
• 2026-06-26 S3 AWS 的物件儲存服務，用 bucket + key 組織檔案，提供 versioning、加密、lifecycle 與存取控制
• 2026-06-26 EC2 AWS 的虛擬機器服務，提供可隨時啟停的運算實例，組成包含 AMI、instance type、EBS、security group 與 IAM role
• 2026-06-26 EBS 掛在 EC2 instance 上的持久化區塊儲存（虛擬磁碟），支援 snapshot 快照備份，跟 instance 獨立生命週期
• 2026-06-26 HCL Terraform 使用的宣告式設定語言，用 resource block 描述基礎設施的目標狀態，工具負責收斂差異
• 2026-06-26 terraform plan / apply IaC 的兩個核心操作：plan 只看不動（產出差異報告）、apply 真的動（執行差異）
• 2026-06-26 AMI EC2 instance 的作業系統映像快照，包含 OS、軟體、設定與磁碟內容，從 AMI 開出的 instance 跟原始狀態一樣
• 2026-06-26 Composer PHP 的套件管理工具，管理專案的第三方依賴、版本鎖定與安全掃描
• 2026-06-26 mysqldump MySQL / MariaDB 的 CLI 備份工具，把資料庫匯出成 SQL 語句的純文字檔
• 2026-06-26 Reverse Proxy 代替後端服務接收外部請求、再轉發到內部服務的中介層，承擔 TLS 終結、負載平衡與路由分流
• 2026-06-26 Database Migration 用版本化的 SQL 腳本管理資料庫 schema 的變更歷程，讓 schema 變更可追蹤、可重現、可回退
• 2026-06-26 Prometheus 開源的 metrics 收集與告警系統，用 pull 模式從 target 拉取指標，斷網環境的預設監控方案
• 2026-06-26 Grafana 開源的監控視覺化平台，從 Prometheus / Loki / Elasticsearch 等資料源建立 dashboard
• 2026-06-26 HashiCorp Vault 機密管理系統，集中存放密碼、API key、TLS 私鑰，提供存取控制、稽核和自動輪替
• 2026-06-26 Harbor 開源的 container image registry，支援映像掃描、RBAC、複製，斷網環境取代 Docker Hub 的方案
• 2026-06-26 Helm Kubernetes 的套件管理工具，用 chart 打包一組 K8s 資源的部署定義
• 2026-07-20 動靜分離（Static / Dynamic Content Separation） 決定入口層或 reverse proxy 怎麼分配請求時，用動靜分離把不需要應用邏輯的靜態資源直接回掉、只把動態請求轉給應用伺服器
• 2026-10-05 CGI（Common Gateway Interface） 接手 cgi-bin 目錄或以 php-cgi 執行的舊站，或在 $_SERVER 看到 REQUEST_METHOD、QUERY_STRING 這類大寫鍵名，要知道它們從哪裡來時
• 2026-10-05 Apache MPM（Multi-Processing Module） 在 Apache 設定或 httpd -V 看到 prefork、worker、event，或要判斷 mod_php 為什麼讓 Apache 只能用 prefork、換成 PHP-FPM 之後能改用哪一種時
• 2026-10-23 Identity-Aware Proxy（身分感知代理） 要讓管理員或使用者不經公開入口連到內部主機與服務、評估把存取控制從來源 IP 改成帳號身分時，查身分感知代理的連線路徑、前提與代價
• 2026-10-23 Bastion Host（跳板機） 內部主機不想各自對外開管理 port、要設定 ProxyJump 經由跳板機連線、判斷 agent forwarding 的風險，或要評估自建跳板機與改用身分感知代理的取捨時，查跳板機的連線方式、暴露面與維運責任
• 2026-10-23 SSH Certificate（SSH 憑證） 主機多、人員常異動而逐台收回 authorized_keys 跟不上，或要讓 SSH 登入權限自動到期時，查 SSH CA 簽發短期憑證的運作方式與導入時要決定的事
• 2026-10-23 OS Login GCP 專案要讓 SSH 登入權限跟著 Google 帳號與 IAM 走、啟用 OS Login 之後管理員或 CI 連不進 VM、或盤點專案 metadata 裡殘留的 SSH 公鑰時，查 OS Login 的運作方式、IAM role 與它和 metadata 金鑰的差別
• 2026-10-23 Serial Console（序列主控台） SSH 因為防火牆、sshd 設定或磁碟滿而連不進主機，或要規劃管理通道斷掉時的備用路徑時，查序列主控台與頻外管理介面的用法與它本身的暴露面
• 2026-10-23 Managed Instance Group（MIG，代管執行個體群組） VM 被自動重建之後設定不見、要決定一組 VM 的設定該寫在哪裡，或要判斷一台 VM 能不能直接刪掉重建時，查 GCP 的 MIG 與 instance template 怎麼建立、修復與更新 VM
• 2026-10-23 Network Tag（GCP 網路標籤） GCP 防火牆規則套不到某台 VM、新建的 VM 連不上，或要決定防火牆規則用 tag 還是服務帳號選 VM 時，查 network tag 怎麼讓防火牆規則選出要套用的 VM
• 2026-10-23 SSH Host Key 與 known_hosts（主機金鑰） ssh 第一次連線問要不要信任指紋、出現 REMOTE HOST IDENTIFICATION HAS CHANGED 警告，或主機重建之後連不上時，查 host key 怎麼證明主機身分、known_hosts 記了什麼，以及首次信任的風險
• 2026-10-24 Service Account（服務帳號） 程式、排程或雲端服務要以自己的身分呼叫雲端 API、要決定給它哪些角色、遇到「狀態正常卻呼叫失敗」的權限問題、或看到 IAM 綁定裡的 serviceAccount: 成員時，查服務帳號是什麼、它的權限要從「它能做什麼」與「誰能以它的身分行事」兩邊設，以及它和人的帳號在管理上的差別
• 2026-10-24 Availability Zone（可用區） 建立雲端主機或磁碟時要選可用區、遇到某個可用區容量不足、規劃兩台主機要不要放在不同可用區，或對照各家把這一層叫 zone、AZ 還是 availability domain 時，查可用區的範圍、它跟區域與故障域的關係與它限制了哪些資源的搭配
• 2026-10-24 Fault Domain（故障域） 建立 Oracle Cloud 主機時看到 fault domain 欄位、要讓同一個服務的幾台主機不落在同一組實體硬體上，或所在區域只有一個可用區、要找可用區以外的隔離手段時，查故障域的範圍、它防的事件與各家對應的放置政策
• 2026-10-24 Instance Metadata Service（實例中繼資料服務） 看到建立主機頁上的 IMDSv2、authorization header、metadata 選項，主機上的程式要取得自己的 ID、區域或身分憑證，或評估網頁應用程式的 SSRF 漏洞會不會讓攻擊者讀到主機的憑證時，查中繼資料服務提供什麼、第二版的存取驗證防的是什麼
• 2026-10-25 CDN（內容遞送網路） 網站要放到 Cloudflare 這類服務後面、看到回應標頭帶著 CDN 的標記、或要判斷源站看到的來源位址是誰時，查 CDN 代替源站接收連線的方式、回源與它對源站防火牆的影響
• 2026-10-25 DNAT（目的位址轉換） 容器發佈的連接埠沒被主機防火牆擋下、port forwarding 的限制規則要寫在位址轉換之前還是之後、或要比對位址轉換之前的連接埠時，查 DNAT 改寫封包目的地的時間點與它對防火牆規則的影響
• 2026-10-25 conntrack（連線追蹤） 防火牆規則寫了 established、related 或 ctorigdstport、有狀態防火牆為什麼不必寫回程規則、改了規則卻像沒生效、或位址轉換之後要比對原本的位址時，查 Linux 核心記錄連線狀態的表與它在規則裡的用法
• 2026-10-25 Network Namespace（網路命名空間） 容器的網路為什麼跟主機分開、要在一台主機上模擬另一個來源位址做防火牆實測、或看到 ip netns 與 veth 時，查 Linux 核心的網路隔離單位與它跟 Kubernetes namespace 的差別
• 2026-10-26 DOCKER-USER（Docker 留給使用者的轉送規則鏈） 要在 Docker 發佈的連接埠上加來源限制、寫進 DOCKER-USER 的規則在防火牆重新載入或重開機之後不見、或規則擋到了容器自己往外的連線時，查這條鏈在轉送路徑上的位置、比對原始連接埠的寫法與規則的存續條件
• 2026-10-26 Userland Proxy（使用者空間的連接埠轉送程式） ss 列出 docker-proxy、rootlesskit 或 rootlessport 聽著容器發佈的連接埠、主機防火牆的入站規則對容器的連接埠有效、或容器的存取紀錄只看得到閘道位址而沒有真實來源時，查這類轉送程式接收連線的路徑與它換掉來源位址的代價
• 2026-10-26 TOML 讀到 .toml 設定檔、要判斷一個值會被解析成什麼型別、要在 JSON、YAML、TOML 之間選設定檔格式，或解析器版本對不上而報錯時
• 2026-10-26 YAML 讀到 .yaml 或 .yml 設定檔、一個沒加引號的值被程式讀成布林值或別的數字、同一份檔案換一個解析器結果不同，或要在 JSON、YAML、TOML 之間選設定檔格式時
• 2026-10-26 Orphaned Resource（孤兒資源） 刪掉或停掉一台雲端主機之後帳單還在、免費額度被不知名的磁碟佔著，或要盤點一個帳號裡哪些磁碟、IP、快照已經沒有主機在用時
• 2026-10-26 Configuration Management（組態管理） 要讓好幾台主機的套件、設定檔與服務維持同一個狀態、讀到 Ansible 的 inventory 與 group_vars、或要判斷主機上的設定該交給 Ansible 這類工具還是 Terraform 這類 IaC 管理時
• 2026-10-27 VNIC（虛擬網路卡） 雲端主機的私有 IP、公開 IP 或網卡層的防火牆規則要查、要改，或主機重建之後私有 IP 與防火牆規則跟著不見時，查 VNIC 掛著哪些設定、它跟主機一起建立與刪除的關係，以及各家的名稱