Deploy na AWS EC2

O Desenho da Infraestrutura: VPC, Subnets e Security Groups

No desenvolvimento de sistemas web enterprise ou ao planejar o escopo de softwares sob demanda acelerados, o pior erro técnico que uma equipe de TI pode cometer consiste em inicializar uma instância EC2 padrão na nuvem pública da AWS e **atribuir a ela um endereço IP público escancarado com todas as portas de redes abertas para acessos anônimos da internet**.

Esse design amador expõe as vulnerabilidades do código a robôs hostis de varreduras em escassos minutos de relógios. A engenharia de elite dita desenhar o perímetro de isolamento antes de empurrar as linhas de códigos-fontes, particionando a infraestrutura cloud em camadas:

• VPC (Virtual Private Cloud) e Subnets (Sub-redes): A **VPC** é a sua cerca de proteção digital exclusiva na nuvem. Dentro dela, a engenharia cinde as redes em duas zonas: a *Sub-rede Pública* (conectada a um Internet Gateway), que recebe única e estritamente componentes de bordas voltados ao tráfego público, e a *Sub-rede Privada*, uma jaula lógica opaca e sem rota de entrada externa direta de redes, local onde a Máquina Virtual do seu core software backend e as instâncias de bancos operacionais relacionais SQL (OLTP) devem residir trancados em segurança.
• Security Groups (Firewalls Estáticos de Instâncias): Funcionam como firewalls estáticos virtuais de portas que operam sob o conceito **Zero-Trust** e controle de privilégios mínimos. Por padrão de fábrica, bloqueiam e barram 100% de qualquer tráfego de entrada. A engenharia configura regras lícitas estritas: a porta 80 (HTTP) e a porta 443 (HTTPS) recebem permissões exclusivas abertas ao público para alimentar o proxy de borda; enquanto a porta restrita de acessos administrativos de terminais **`22` (SSH)** é **terminantemente trancada contra o mundo**, liberando acessos lúdicos estritamente originados do endereço IP fixo da sede física da empresa ou através de túneis privados de redes **VPNs** corporativas.

O Guia Passo a Passo: Do Provisionamento ao Código Online

Para marcas focadas em digitalização madura e engenheiros ágeis de alta performance, executar o deploy na AWS EC2 segue um roteiro ordinal, declarativo e rastreável livre de débitos técnicos crônicos de manutenções lógicas:

Passo 1: Inicializar e Escolher a Instância (Console ou IaC)

No painel da AWS, navegue até o módulo EC2 e acione o gatilho *Launch Instance*. Selecione a imagem de base (**AMI – Amazon Machine Image**) de elite de mercado estável: **Ubuntu Server LTS (Mínimo v24.04)**. Escolha o tamanho do hardware balizando as finanças através do framework **FinOps**: para sites profissionais ou MVPs de plataformas SaaS enxutos, a classe econômica **`t3.micro` ou `t3.small`** (portadora de créditos elásticos de CPUs) entrega excelente vazão computacional. Para Big Data ou barramentos complexos de microsserviços concorrentes simultâneos por segundo, migre para as famílias otimizadas para processadores do tipo **`c6i` ou `m6i`**.

Gere e faça o download do par de chaves criptográficas de segurança obrigatórias em formato **`.pem` (chaves de chaves assimétricas SSH)**. Tranque o arquivo na pasta local da sua máquina alterando as permissões lógicas de leitura do Kernel para evitar vazamentos de colaboradores (rodando o comando de terminal Linux chmod 400 sua-chave.pem).

Passo 2: Conexão e Reidratação de Dependências

Acione o túnel de redes abrindo o terminal e disparando a conexão Server-to-Server criptografada segura contra o IP elástico público do EC2:

ssh -i "sua-chave.pem" ubuntu@ec2-xxx-xxx-xxx-xxx.sa-east-1.compute.amazonaws.com

Uma vez trancado dentro do terminal do Ubuntu, execute a atualização de pacotes do sistema operacional de fábrica e instale os motores nativos de runtime de conteinerizações e buffers de automações (**Docker e Docker Compose**), anulando de vez as anomalias do “na minha máquina funciona”:

sudo apt update && sudo apt upgrade -y
sudo apt install docker.io docker-compose -y
sudo usermod -aG docker ubuntu && newgrp docker # Permite rodar o Docker sem sudo

Hardening do Proxy Nginx: Configurando o Virtual Host Seguro

Embora runtimes modernas consigam erguer servidores HTTP nativos diretamente via linhas de códigos (como rodar um app Node na porta 3000), expor esse processo nu diretamente na internet é considerado um risco de segurança de TI altíssimo. O design de elite dita utilizar a **Defesa em Profundidade**: o **Nginx** intercepta o tráfego público na porta 443, processa a terminação criptográfica forçando o protocolo seguro **TLS 1.2 e TLS 1.3**, injeta cabeçalhos de proteções contra o OWASP Top 10 e despacha o payload de forma limpa Server-to-Server via rede interna local para o container da aplicação web:

# Arquivo Corporativo de Configuração: /etc/nginx/sites-available/enterprise_conf
server {
    listen 80;
    listen [::]:80;
    server_name api.customstack.com.br;
    return 301 https://$host$request_uri; # Redirecionamento permanente para canal seguro
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name api.customstack.com.br;

    # Certificados Criptográficos obtidos na CA (Let's Encrypt / Certbot)
    ssl_certificate /etc/letsencrypt/live/customstack.com.br/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/customstack.com.br/privkey.pem;

    # Hardening de Protocolos: Proíba terminantemente SSLv3, TLS 1.0 e 1.1 (Vulneráveis)
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
    ssl_prefer_server_ciphers on;

    # Cabeçalho Mestre HSTS: Força HTTPS por 1 ano, impedindo ataques SSL Strip
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    
    # Cabeçalhos Complementares contra OWASP Top 10 (XSS e Injeções)
    add_header X-Frame-Options "DENY" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;

    location / {
        proxy_pass http://127.0.0.1:3000; # Redireciona local Server-to-Server para a API Docker
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded-for;
        proxy_set_header X-Forwarded-Proto https;
    }
}

Ative as diretivas criando o link simbólico imutável no Linux e reinicialize o proxy na velocidade de microssegundos eletrônicos:

sudo ln -s /etc/nginx/sites-available/enterprise_conf /etc/nginx/sites-enabled/
sudo nginx -t # Executa varredura sintática caçando furos de digitação
sudo systemctl restart nginx

Maturidade DevSecOps: Automatizando Deploys via GitHub Actions

Executar o deploy acessando o terminal do EC2 de formas humanas manuais para rodar comandos a cada alteração de código sabota a produtividade computacional de marcas de mercados e induz débitos técnicos pesados. Esteiras de alta performance automatizam o fluxo integrando pipelines de **Integração e Implantação Contínuas (CI/CD)** declarados como códigos via arquivos YAML no GitHub Actions:

# Arquivo declarativo IaC: .github/workflows/deploy.yml
name: Esteira CD Engine - Deploy Automatizado AWS EC2

on:
  push:
    branches: [ main ] # Dispara reativamente a cada commit lacrado na branch mestre

jobs:
  deploy-nuvem:
    runs-on: ubuntu-latest
    steps:
    - name: Capturar linhas de códigos do Git
      uses: actions/checkout@v4

    - name: Executar handshakes SSH e Deploy Automatizado via chaves cifradas no EC2
      uses: appleboy/ssh-action@master
      with:
        host: ${{ secrets.AWS_EC2_PUBLIC_IP }} # IPs públicos guardados trancados nos secrets
        username: ubuntu
        key: ${{ secrets.AWS_EC2_SSH_PRIVATE_KEY }} # A chave .pem salva de forma mascarada
        port: 22
        script: |
          cd /home/ubuntu/app-corporativo
          git pull origin main
          docker-compose down
          docker-compose up -d --build # Recompila as camadas de imagens em runtime submilissegundo
          docker system prune -f # FinOps: Expurga e limpa lixos de contêineres e caches velhos ociosos

Segurança da Informação, Gestão de Segredos e as Regras da LGPD

Centralizar e trafegar grandes massas analíticas contendo Informações Pessoais Identificáveis (PII) de clientes (Nomes, e-mails, CPFs, registros de faturamentos contábeis) nos servidores elásticos do EC2 sem a aplicação severa de travas de segurança da informação transforma a infraestrutura da empresa em alvo de crimes cibernéticos drásticos. Sob as rédeas estritas de *Privacy por Design* exigidas pela LGPD no Brasil, mitigar passivos civis exige incorporar a governança técnica de fábrica.