Servicii AWS Utilizate

Ambele modele utilizează S3, API Gateway, Lambda și CloudWatch Logs. Diferența: infrastructură partajată (Partajat) vs. dedicată per client (Enterprise).

Servicii AWS per Model de Deployment

Serviciile AWS utilizate diferă în funcție de modelul de deployment — Partajat (multi-tenant pe Heroku) sau Enterprise (infrastructură dedicată AWS).

Model Partajat (SaaS)

Modelul Partajat utilizează microservicii AWS pentru procesare, stocare și jurnalizare, în cadrul unei infrastructuri partajate cu ceilalți clienți.

Serviciu AWS	Rol	Configurare cheie
AWS S3 — Primary bucket	Stocare conținut documente	Versioning activat; SSE; Block-public-access ON; lifecycle delete markers 100 zile
AWS S3 — CRR Replica	Backup/DR pasiv cross-region	Replică managed; SSE; nicio aplicație nu citește/scrie direct
AWS API Gateway	Proxy pentru microservicii Lambda	Rute HTTPS; autentificare/autorizare cereri; throttling
AWS Lambda	Funcții microservicii stateless	IAM-scoped; VPC/private endpoints
AWS CloudWatch Logs	Jurnal audit semnări	Append-only; criptat la repaus; retenție 5 ani

Flux de Acces S3 — Model Partajat

Web dyno (aplicație)
    │ HTTPS (credențiale IAM least-privilege)
    ▼
AWS S3 Primary bucket
    │ CRR managed automat
    ▼
AWS S3 CRR Replica (altă regiune — backup only)

Servicii AWS Neutilizate în Modelul Partajat

Serviciu	Motiv
AWS RDS	Baza de date este Heroku Postgres (managed)
AWS CloudFront	Nu se utilizează CDN
AWS SES	Emailul tranzacțional este prin Postmark
AWS Route 53	DNS-ul este gestionat prin Heroku

Model Enterprise (Infrastructură Dedicată)

Modelul Enterprise utilizează o suită extinsă de servicii AWS, configurate dedicat per client, conform specificațiilor contractuale.

Serviciu AWS	Rol	Configurare cheie
AWS RDS PostgreSQL	Baza de date relațională principală	Dedicat per client; criptat la repaus (KMS); backup automat zilnic (retenție 30 zile) + PITR
AWS ElastiCache (Redis)	Cache aplicație + coadă joburi asincrone	Dedicat per client; criptat la repaus (KMS); privat în VPC
AWS S3 — Primary bucket	Stocare conținut documente	Versioning activat; SSE; Block-public-access ON; lifecycle delete markers 100 zile
AWS S3 — CRR Replica	Backup/DR pasiv	Replică cross-region managed; SSE; nicio aplicație nu citește/scrie direct
AWS ECS	Containere aplicație și joburi asincrone	Clustere dedicate per client; IAM task roles
AWS API Gateway	Proxy și rutare API	Rute HTTPS; autentificare/autorizare cereri; throttling și usage plans
AWS Lambda	Funcții de procesare stateless	IAM-scoped; VPC/private endpoints; versioned deployments
AWS SES	Email tranzacțional	Notificări, OTP, alerte sistem; domeniu verificat per client
AWS CloudWatch Logs	Jurnal audit semnări + loguri aplicație	Retenție 5 ani (semnare); append-only; criptat la repaus; IAM-restricted

Acces și Autentificare (Ambele Modele)

Accesul la serviciile AWS se face prin credențiale IAM cu least-privilege — fiecare componentă are permisiunile minime necesare
Credențialele sunt stocate securizat în variabilele de mediu ale aplicației — nu în codul sursă
2FA obligatoriu pe contul AWS administrativ
Accesul la S3 exclusiv prin API autentificat — nicio expunere publică directă