工坊笔记
工程决策、目录动态和实用指南——由维护镜像的团队撰写。
默认 ARM64：我们为什么把 AMI 构建在 Graviton 上
设计镜像时，我们必须选定一个默认架构。我们仔细思考、实测比较，最终选择了 ARM64。这里说明为什么我们认为它对多数人是更好的选择——以及为什么如果你需要 x86_64，只要开口就行。
为你的 AMI 瘦身，并缩短启动时间
臃肿的镜像启动慢、存储贵，还会撑大攻击面。给 AMI 瘦身、让它启动更快，能一举改善自动伸缩、账单与安全。方法如下。
2026 年面向 AI 与 GPU 的机器镜像：GPU 入场后，什么变了
手工搭一套跑在 GPU 上的 AI 环境，就是一场驱动、CUDA 版本与框架互不兼容的狂欢。一份准备妥当的 GPU 镜像，能省下你好几天的煎熬。2026 年一份 AI 用的 AMI 该带什么，我们来说清楚。
ARM 与 Graviton：迁移镜像，压低你的云账单
ARM 早已不只是手机上的事：如今它撑起了云的一大块，性价比高到难以忽视。把镜像迁到 Graviton，账单往往能明显下降。我们来讲讲怎么做，以及要注意什么。
如何在不中断服务的情况下迁移到新的 AMI
更新支撑服务的那份镜像，不必意味着一个不眠之夜或一张维护页。选对策略，你就能零停机切换 AMI，而且退路始终触手可及。
BYOL 与按小时计费：看懂你 AMI 的许可与成本
用镜像时是自带许可，还是按小时付费？答案会改变你的账单、你的灵活度，以及你的法律义务。这份指南帮你选出真正适合自己的模式。
机密管理：绝不要把凭据烘焙进 AMI
镜像里的一个密码，就是一场等着发生的泄露：它会被复制、被分享，并永远留在某个快照里。规则很简单，也不容例外：机密永远不进镜像。以下是正确的做法。
机器镜像中的 SBOM：为你的软件建立清单与可追溯性
下一个关键漏洞出现时，问题只有一个：「我受影响吗？」没有 SBOM，答案要靠几天的手工排查；有了它，只需几秒。我们来讲清它是什么，以及如何为你的镜像生成它。
cloud-init 与 user-data：像专家一样在启动时配置实例
golden AMI 负责不变的部分；cloud-init 负责会变的部分。掌握 user-data 与 cloud-init，你就能把同一份镜像用在上千种场景里，而不必重烤。这是实用指南。
面向 Kubernetes 节点的加固 AMI：集群的安全基石
Kubernetes 的安全上限，就是它所运行节点的安全水平。一个经过加固、及时打补丁并调优的节点 AMI，是许多团队忽视的基础。我们来讲讲如何为 EKS 与自建集群构建理想的基础镜像。
面对关键 CVE 时重建 AMI：把漏洞响应自动化
下一个 Log4Shell 出现时，时钟已经在走。能在几小时内重建并重新分发镜像的组织睡得安稳；靠手工打补丁的则不然。这就是自动响应关键 CVE 的架构。
AWS、Azure 与 GCP：跨云的机器镜像对比
AMI、Managed Image、Custom Image：同一件事——一份用来启动机器的模板——每朵云都有自己的叫法和规矩。如果你横跨多朵云，弄清差异能省掉不少意外。
2026 云趋势：不可变镜像、FinOps 与 AI 定调
2026 年的云更贵、更受监管，也更聪明。对构建与部署基础设施的人来说，三股潮流——不可变、成本管控与 AI 驱动的自动化——决定了今年该把精力放在哪里。
AMI 与容器：什么时候用哪个（以及什么时候一起用）
机器镜像还是容器？这个问题本身就问错了：它们并不竞争，而是互补。理解各自解决什么问题，能让你避免过度设计，并为每种负载挑到合适的工具。
投入生产之前，如何挑选一份可信的 AMI
并非所有公开镜像都安全，也并非所有安全的镜像都适合你。用别人的 AMI 启动实例之前，值得掀开引擎盖看一眼。这就是有判断力的团队所用的检查清单。
加密、补丁与合规：云镜像的安全三件套
把数据加密、把补丁跟上、并能在审计中拿出证据：这三件事合起来，能让你的机器镜像成为可信资产，而不是潜伏的风险。
AMI 的 CIS 加固：加固 EC2 镜像的实用指南
一份未加固的镜像，就是一扇敞着的门，只等有人走进来。把 CIS 基线应用到你的 AMI，能一举抬高安全水位，也让你更接近合规。我们来讲讲怎么做，同时不拖慢团队。
AMI 的生命周期：版本管理、加密与自动清理
创建一份 AMI 很容易；随时间治理它，才是专业团队与「孤儿镜像坟场加虚高账单」之间的分界线。这是一份让你无痛完成版本管理、加密与清理的完整指南。
用 Packer 打造 Golden AMI：一步步搭出可复现的流水线
一份构建良好的 golden AMI，决定了你是几秒钟内胸有成竹地上线，还是跟一堆永远不一样的服务器缠斗。本篇技术指南带你搭起一条可复现、可上生产的 Packer 流水线。
Zabbix 7.0 LTS 现已上线：我们的 AMI 有何变化
焕新的前端、SLA 小组件和重写的 SQS 读取器。我们梳理新 LTS 线的新特性，以及如何从 6.0 迁移而不丢失历史数据。
我们为什么继续维护 Bitnami 技术栈
Bitnami 停止发布后，成千上万的团队再也拿不到补丁。这是我们做的事。