البداية مع AWS — الحساب، الواجهة، المناطق، العرض المجاني وAWS CLI

الهدف

أن تفتح حساب AWS بطريقة سليمة: تؤمّنه منذ الساعة الأولى، وتختار منطقة مناسبة لمستخدمين في المغرب، وتفهم ما يغطيه العرض المجاني، ثم تثبّت AWS CLI وتضبطه للعمل بسطر الأوامر مع عدة ملفات شخصية (profiles).

أهم النقاط

• حساب AWS حاوية للموارد وللفوترة، يُعرَّف برقم من 12 رقمًا. يصبح البريد الإلكتروني المستعمل في التسجيل هو المستخدم الجذر (root user)، صاحب الصلاحيات المطلقة.
• يحصل المستخدم الجذر فورًا على MFA (المصادقة متعددة العوامل)، ولا يُستعمل أبدًا في العمل اليومي: نعمل بهويات IAM أو IAM Identity Center.
• تنقسم AWS إلى مناطق (regions) (eu-south-2 إسبانيا، eu-west-3 باريس…) ونطاقات توفّر (availability zones) (eu-south-2a، b، c). أغلب الموارد تنتمي إلى منطقة واحدة.
• العرض المجاني (free tier) له حدود دقيقة وقد تغيّر سنة 2025: أول شيء يجب إنشاؤه هو ميزانية مع تنبيه.
• يقرأ AWS CLI v2 إعداداته من ~/.aws/config و~/.aws/credentials، وهي منظّمة في ملفات شخصية (profiles).

1. حساب AWS

لفتح حساب، تحتاج إلى بريد إلكتروني ورقم هاتف وبطاقة بنكية تقبل الأداءات الدولية بالدولار (البطاقة المغربية الدولية تكفي عمومًا؛ تحقّق مع بنكك من سقف الأداء في الخارج).

ممارسات جيدة عند التسجيل:

المستخدم الجذر (root user)

يستطيع المستخدم الجذر فعل كل شيء، بما في ذلك إغلاق الحساب أو تغيير وسيلة الأداء، ولا توجد أي سياسة (policy) تستطيع تقييده داخل الحساب. لذلك:

1. فعّل MFA (ويُفضَّل مفتاح أمان FIDO2)؛
2. لا تنشئ له أي مفتاح وصول (access key)؛
3. أنشئ هوية إدارة للعمل اليومي (الدرس 1.2)؛
4. لا تستعمل الجذر إلا للمهام النادرة التي تتطلّبه (بعض إعدادات الفوترة، إغلاق الحساب، الاسترجاع).

حساب واحد أم عدة حسابات؟

غالبًا ما تبدأ الشركة الناشئة بحساب واحد. وبمجرد وجود بيئة إنتاج، نفصل الحسابات باستعمال AWS Organizations: حساب للتسيير (الفوترة فقط)، وحساب للإنتاج، وحساب لما قبل الإنتاج، وحساب للأمن (سجلات CloudTrail، التدقيق):

Organisation « startup »
├── compte gestion (facturation, rien d'autre)
├── compte production
├── compte préproduction
└── compte sécurité (journaux CloudTrail, audit)

الحدود بين الحسابات هي أقوى عزل في AWS: خطأ في بيئة ما قبل الإنتاج لا يمكن أن يمسّ الإنتاج.

2. واجهة الإدارة (console)

تتيح واجهة الويب (console.aws.amazon.com) القيام بكل شيء بالفأرة. معالم مهمة:

• في الأعلى على اليمين، محدِّد المنطقة: السبب رقم 1 لعبارة «اختفت آلاتي!» (هي ببساطة في منطقة أخرى)؛
• شريط البحث عن الخدمات؛
• قائمة الحساب: رقم الحساب، الفوترة، بيانات الاعتماد الأمنية؛
• CloudShell: طرفية (terminal) داخل المتصفح فيها AWS CLI مضبوط مسبقًا بصلاحياتك. عملي للبداية، دون تثبيت أي شيء.

بعض الخدمات عالمية (IAM، Route 53، CloudFront، Organizations): لا تأثير لمحدِّد المنطقة عليها.

3. المناطق ونطاقات التوفّر

المناطق القريبة من المغرب

عند تحرير هذا الدرس، لا تملك AWS منطقة في المغرب. قائمة المناطق والخدمات المتوفرة في كل منطقة تتغيّر: راجع الصفحة الرسمية «Global Infrastructure» قبل أي مشروع.

المناطق التي يجب تفعيلها

المناطق التي فُتحت بعد مارس 2019 (ومنها eu-south-2 وeu-south-1 وaf-south-1) تكون معطّلة افتراضيًا. يجب تفعيلها من إعدادات الحساب (قائمة الحساب ← «Account» ← «AWS Regions»)، وقد يستغرق ذلك بضع دقائق.

# عرض حالة مناطق الحساب (مفعّلة أم لا)
aws account list-regions --query 'Regions[].[RegionName,RegionOptStatus]' --output table

النطاقات

لكل منطقة ثلاثة نطاقات توفّر على الأقل. اسمها (eu-south-2a) تسمية خاصة بحسابك: النطاق «a» في حساب آخر ليس بالضرورة مركز البيانات نفسه. وللحديث عن النطاق نفسه بين حسابين، نستعمل معرّف النطاق (zone ID) (من الشكل <code-court>-az1)، الذي يعرضه الأمر التالي.

aws ec2 describe-availability-zones --region eu-south-2 \
  --query 'AvailabilityZones[].[ZoneName,ZoneId,State]' --output table

اختيار المنطقة: شركة ناشئة في الدار البيضاء

تطبيق توصيل لمحلات البقالة في الدار البيضاء والرباط:

الاختيار الشائع: منطقة رئيسية قريبة (إسبانيا أو باريس) بعد التحقق من توفّر كل الخدمات اللازمة فيها، ومنطقة ثانية لنسخ النسخ الاحتياطية. أما مسألة المعطيات الشخصية (القانون 09-08، CNDP) فيجب معالجتها قبل ذلك: انظر مسار «أساسيات السحابة»، الدرس 3.1.

4. العرض المجاني والفاتورة

العرض المجاني (free tier)

تقدّم AWS منذ مدة طويلة عرضًا مجانيًا لاكتشاف خدماتها. وقد تغيّر جذريًا سنة 2025: تحصل الحسابات الجديدة على أرصدة (credits) للبداية وتختار بين خطة مجانية محدودة في الزمن وخطة مدفوعة؛ أما الحسابات الأقدم فكانت تخضع لعرض «12 شهرًا مجانًا» على بعض الخدمات، إضافة إلى خدمات «مجانية دائمًا» في حدود شهرية.

القواعد الدقيقة (المبالغ، المدة، الخدمات المعنية) تتغيّر: اقرأ الصفحة الرسمية للعرض المجاني عند فتح الحساب، واحفظ هذه المبادئ:

• «مجاني» يعني في حدود معيّنة (ساعات، جيجابايت، طلبات)؛
• بعض الخدمات ليست مجانية أبدًا (بوابة NAT، عناوين IPv4 العمومية خارج ما هو مشمول، بعض أحجام الآلات)؛
• ما تنساه مشغّلًا يستمر في الاستهلاك.

احمِ نفسك منذ اليوم الأول

1. أنشئ ميزانية (budget) مع تنبيه بالبريد الإلكتروني عند بضعة دولارات (AWS Budgets، الدرس 3.3).
2. فعّل استقبال تنبيهات الفوترة وراجع صفحة Billing and Cost Management كل أسبوع في البداية.
3. احذف ما تنشئه لتجاربك، في المنطقة الصحيحة.

# ميزانية شهرية بـ 10 دولارات مع تنبيه عند 80 % (ملفات JSON مُعدّة مسبقًا)
aws budgets create-budget --account-id 123456789012 \
  --budget file://budget.json --notifications-with-subscribers file://alertes.json

5. AWS CLI

تثبيت الإصدار 2

# Linux x86_64 (على آلة متصلة بالإنترنت)
curl -sSLo awscliv2.zip "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip"
unzip -q awscliv2.zip
sudo ./aws/install
aws --version          # aws-cli/2.x.x Python/3.x Linux/...

فضّل هذا المثبّت الرسمي أو CloudShell: حزمة awscli في بعض التوزيعات هي الإصدار القديم 1.

الاتصال: الطرق المتاحة

ملفات الإعدادات

# ~/.aws/config : إعدادات لكل ملف شخصي (لا أسرار هنا)
[default]
region = eu-south-2
output = json

[profile formation]
region = eu-west-3
output = table

[profile prod]
sso_session = startup
sso_account_id = 123456789012
sso_role_name = AdministrateurProd
region = eu-south-2

[sso-session startup]
sso_start_url = https://startup.awsapps.com/start
sso_region = eu-west-3

• ~/.aws/config: المناطق، صيغة الإخراج، الملفات الشخصية SSO؛
• ~/.aws/credentials: مفاتيح الوصول إن كنت تستعملها (ملف يجب حمايته بـ chmod 600، ولا يوضع أبدًا في Git)؛
• في config تُكتب الأقسام [profile nom]؛ وفي credentials تُكتب ببساطة [nom].

اختيار الملف الشخصي والمنطقة

aws s3 ls --profile formation           # ملف شخصي لأمر واحد
export AWS_PROFILE=prod                 # ملف شخصي لكامل جلسة الطرفية
aws ec2 describe-instances --region eu-west-3   # المنطقة كخيار تتجاوز منطقة الملف الشخصي
aws configure list                      # من أين تأتي الإعدادات الحالية
aws sts get-caller-identity             # «من أنا؟»: الحساب، المستخدم أو الدور

aws sts get-caller-identity هو الأمر الذي يجب كتابته كلما لم يعمل شيء ما: يخبرك بالحساب والهوية اللذين تعمل بهما فعلًا.

تنسيق النتائج

aws ec2 describe-regions --output table
# --query يرشّح استجابة JSON باستعمال JMESPath
aws ec2 describe-instances \
  --query 'Reservations[].Instances[].[InstanceId,InstanceType,State.Name]' --output text

الصيغ: json (افتراضيًا، للسكربتات)، table (مقروءة)، text (لـ grep وawk)، yaml.

أخطاء متكررة

• استعمال المستخدم الجذر يوميًا، أو الأسوأ، إنشاء مفاتيح وصول له.
• البحث عن مواردك في المنطقة الخطأ: تحقّق من محدِّد المنطقة ومن الخيار --region.
• الاعتقاد بأن كل شيء مجاني خلال فترة التجربة: بوابة NAT، العناوين العمومية، الأحجام الكبيرة أو الآلات الكبيرة كلها مفوترة. أنشئ ميزانية.
• نسخ مفاتيح الوصول في سكربت أو مستودع Git: روبوتات تعثر عليها في دقائق وتشغّل آلات تعدين على حسابك.

التطبيق العملي (Lab)

لا يتوفّر التمرين على وصول إلى الشبكة ولا على AWS CLI: ستُعِدّ الملفات التي يضعها المهندس على حاسوبه. ستكتب ~/.aws/config بملف شخصي افتراضي في إسبانيا ثم ملف شخصي formation في باريس، وسكربت جرد صغيرًا سليمًا، وبطاقة اختيارات الحساب.

cat /root/.aws/config
sh -n /root/aws/inventaire.sh && echo "syntaxe correcte"

اختبار قصير

1. كم رقمًا يتكوّن منه رقم حساب AWS؟
2. اذكر قاعدتين خاصتين بالمستخدم الجذر.
3. لماذا لا تظهر المنطقة eu-south-2 في حساب جديد تمامًا؟
4. في ~/.aws/config، كيف يُكتب عنوان ملف شخصي اسمه formation؟
5. أي أمر يبيّن الحساب والهوية اللذين يعمل بهما CLI؟

مراجع عامة: الوثائق الرسمية لـ AWS (غير منقولة). نص أصلي بالكامل من MasterLinux.