AWS 迁腾讯云避坑指南：8 大组件差异风险 + 工作量预估 WBS 拆解（真实评估经验）
系列第三篇 · 配套阅读：《腾讯云助手跨云迁移评估实战》（第一篇）与《架构信息收集模板》（第二篇）
主题：AWS 场景下最容易低估的 8 类组件差异，逐条给"风险-影响-处置"，并给出一套可按 WBS 拆到人日的工作量估算框架。
0. 为什么 AWS 迁移比阿里云迁移更难评估
如果你做过阿里云 → 腾讯云，会觉得"也就是换个产品名的事"。但 AWS → 腾讯云的评估有两个额外难点：
- 权限模型差异大 ：AWS 的 IAM 是"策略 JSON + 资源 ARN"的体系，腾讯云 CAM 是"策略 + 资源六段式"的体系。不只是改名，是两套授权语义。S3 的 Bucket Policy + Object ACL + 预签名 URL 迁到 COS 时，几乎不可能 1:1 平移。
- 托管服务覆盖错位：AWS 有一堆"只有它家才有类似形态"的服务（如 CloudFront 边缘函数、SQS、Step Functions、Kinesis），落到腾讯云要么映射到不同产品，要么干脆自建------评估时如果只做"产品对照表"而不看"能力清单"，工作量会严重低估。
本篇把最容易翻车的差异列成 8 类，每类给风险分级与处置建议，最后给可复用的 WBS 估算框架。
1. 八类核心差异：风险 - 影响 - 处置
1.1 账号与权限体系：IAM → CAM
| 项 | AWS | 腾讯云 | 风险 |
|---|---|---|---|
| 授权模型 | IAM Policy + Resource ARN | CAM 策略（六段式 resource） | 高 |
| 角色/临时凭证 | AssumeRole / STS Token | 角色 + 临时密钥（同样有 STS） | 中 |
| 子账号组织 | Organizations + SSO | 子用户 / 企业组织（集团账号） | 中 |
典型翻车点：用 AWS CLI 写好的一堆 arn:aws:s3:::bucket/* 权限脚本，不能直接搬到腾讯云，所有策略都要按 CAM 语法重写 。处置建议：把"IAM 策略资产盘点 + CAM 重写"作为独立工作包，别塞进"账号开通"里顺手做。风险分级：P1（写错策略 = 生产事故；白名单式误授权 = 安全风险）。
1.2 计算：EC2 / ECS → CVM / TKE
- EC2 迁移本身是成熟路径：腾讯云迁移工具（在线迁移 Agent / 镜像导入）可覆盖绝大多数 Linux 场景，系统盘 + 数据盘整机迁移，P2 级工作量。
- 真正的工作量在镜像层：AWS 默认内核 / 驱动（xen、nitro）与腾讯云虚拟化不同，迁移后必须做内核模块与 GRUB 检查；带 License 绑定的 Windows/商用软件（如有）要提前确认授权是否支持跨云。
- 如果在 AWS 用的是 ECS（容器）+ Fargate ，落到腾讯云 TKE 时差异集中在：任务定义（Task Definition）与 Deployment 的转换、Fargate 的"无节点"模型 vs TKE 托管节点池的差异（涉及弹性伸缩与成本模型变化）。P1：容器迁移不写清楚，排期直接失控。
1.3 网络：VPC / Security Group → VPC / 安全组
| AWS | 腾讯云 | 差异影响 |
|---|---|---|
| VPC + Subnet + IGW | VPC + 子网（IPv4 网段规划） | 大体对齐，需重做网段规划与路由表 |
| Security Group（状态化） | 安全组（状态化） | 语义对齐，但需逐条重建并核对源/目的 |
| NACL | 网络 ACL（可选） | 如用到需平移 |
| VPC Peering / Transit Gateway | 对等连接 / 云联网 CCN | CCN 能力更强，但路由规则需重写 |
| Route53（内网解析） | Private DNS（DNSPod 私有域） | 需要改造，不直接用 Route53 语法 |
| Direct Connect | 专线接入 | 到腾讯云侧需重新申请端口与 BGP 配置 |
风险提示：别让安全组"顺手照着抄" ------AWS 安全组里大量 0.0.0.0/0 或引用其他安全组 ID 的规则，迁到腾讯云要么变拒绝、要么变成过度放通。处置：出"安全组规则重构"专项，按业务最小化收敛。分级 P1。
1.4 存储：S3 / EBS / EFS → COS / CBS / CFS
| AWS | 腾讯云 | 风险点 |
|---|---|---|
| S3 | COS | 权限模型差异大（见 1.1） ；访问域名不同（bucket.s3.region.amazonaws.com vs bucket.cos.region.myqcloud.com），存量外链全部要改；生命周期/版本控制/跨区复制需重配；S3 的加密（SSE-KMS）需映射 COS 服务端加密 |
| EBS | CBS | 快照机制不同，需用工具/镜像迁移，注意 IOPS 与突发能力差异 |
| EFS | CFS | 协议兼容性总体好（NFS），注意锁语义与性能档位 |
| S3 Glacier | COS 归档 | 归档恢复策略需重写 |
典型翻车点：依赖 S3 预签名 URL / 分片上传的存量代码 ，换 COS 后 SDK 与签名算法全变（AWS SigV4 vs COS 的签名机制），这类"隐藏代码依赖"评估时必须显式要求业务侧盘点。分级 P1 （存量链接与 SDK 改造） / P2（数据搬迁本身）。
1.5 数据库与数据迁移：RDS / Aurora / DynamoDB → 云数据库 / TDSQL 系列
| AWS | 腾讯云 | 备注 |
|---|---|---|
| RDS MySQL/PostgreSQL | 云数据库 MySQL / PostgreSQL | DTS 支持不停机迁移，推荐走 DTS |
| Aurora | TDSQL-C（MySQL 兼容） | 引擎差异需验证：Aurora 特有的 Writer/Reader 端点、全局索引、自动扩容行为 |
| DynamoDB | TDSQL-C / TcaplusDB / 自建 | 无 1:1 托管替代，属应用改造级工作量，必须提前评估 |
| ElastiCache | 云数据库 Redis | DTS for Redis 支持全量+增量在线迁移 |
| DocumentDB / Neptune | 需自建或选型 | 属架构决策项，非迁移项 |
要点：跨云数据库迁移优先在线方案（DTS 全量+增量） ，把停机压到"切换读写的最后几分钟"。但注意两点：一是源端需开启 binlog 且保留足够长 ，二是在割接窗口前要完成字符集、时区、账号权限、连接串改造 的四项预检，否则增量追平后一切换就报错。分级 P1。
1.6 无服务器与应用集成：Lambda / SQS / SNS / Step Functions / Kinesis
这类是 AWS 迁移里最容易被低估成本的一组：
| AWS | 腾讯云映射 | 现实判断 |
|---|---|---|
| Lambda | SCF 云函数 | 运行时与触发源大体可映射，但依赖库打包、日志格式、超时/并发配额需适配，函数数量 × 改造系数 |
| SQS / SNS | TDMQ-CMQ / 消息队列 | 无直接等同品，需按"队列语义"重选型 |
| Step Functions | 云工作流（开源兼容）/ 自建 | 状态机定义需重写 |
| Kinesis | CKafka / 数据接入 | 连接器生态不同 |
| API Gateway | API 网关 | 映射较顺，但鉴权与限流插件需重配 |
| EventBridge | 事件总线（需选型） | 事件源与目标规则全量重配 |
处置原则：这类组件必须进"应用改造清单"而非"资源迁移清单" ，工作量按函数/队列数量 × 平均改造人日粗估，而不是按"资源个数 × 迁移单价"估。分级 P1（数量多时往往是总工作量的大头）。
1.7 安全与合规组件：KMS / WAF / Shield / CloudTrail / Config
| AWS | 腾讯云 | 要点 |
|---|---|---|
| KMS（CMK + 信封加密） | 密钥管理服务 KMS | 密钥材料不可导出，业务侧必须支持换密钥；对用了 KMS 加密的 S3/EBS 要先解密再迁移或重建加密 |
| WAF | WAF | 规则与防护策略需重建；若依赖 AWS 托管规则集需对照重新选择 |
| Shield Advanced | DDoS 防护 | 规格与套餐不同，需重新评估防护水位与费用 |
| CloudTrail | 云审计 CloudAudit | 需重建并核对审计留存时长（合规要求） |
| Config / GuardDuty | 配置审计 / 主机安全（云镜） | 监控面不同，需重新评估覆盖 |
分级：KMS 依赖 = P0/P1 （提前确认业务内所有使用点，否则割接当天应用起不来）；其余 P2。
1.8 可观测与交付链路：CloudWatch / X-Ray / Code* / Secrets Manager
- CloudWatch 告警/日志 → 腾讯云可观测平台（云监控 + CLS）：告警规则数量是重配工作量；CloudWatch Logs 的查询语法（Logs Insights）无法平移，业务方依赖的查询视图要重建。
- X-Ray → 腾讯云 APM（如 Prometheus/OpenTelemetry 生态）：链路追踪改造量看接入方式。
- CodeCommit/CodePipeline/CodeDeploy → CI/CD 需重建（流水线、制品库、部署组全重来），且 Jenkins/GitLab 场景反而更简单。
- Secrets Manager → 凭据管理系统 SSM：密钥迁移注意轮换与白名单依赖。
2. 组件差异评估输出长什么样（交付物示例）
把上面八类落到评估报告里，推荐的呈现方式是"三列决策 + 分级"，例如：
| 源组件 | 腾讯云目标 | 处置结论 | 风险级 | 说明摘要 |
|---|---|---|---|---|
| EC2 (Linux, 120台) | CVM（迁移工具整机迁） | 可平移 | P2 | 需内核/GRUB 检查，镜像工具批量 |
| S3 (3 Bucket) | COS | 需改造 | P1 | 域名/SDK/权限全量改造，先盘存量链接 |
| RDS MySQL | 云数据库 MySQL（DTS） | 可在线迁移 | P1 | 四项预检 + binlog 保留策略 |
| DynamoDB | 待定（TDSQL-C/Tcaplus/自建） | 架构决策 | P1 | 需业务评审，严禁默认平移 |
| Lambda (23个函数) | SCF | 需适配 | P1 | 逐函数核对依赖/超时/配额 |
| IAM 策略 (40条) | CAM | 重写 | P1 | 独立工作包，含安全评审 |
| CloudWatch 告警 (60条) | 云监控 | 重建 | P2 | 按 P0 告警优先迁移 |
| KMS 加密资源 | 腾讯云 KMS | 换钥 | P0 | 先出使用点全量盘点 |
决策列共三种：可平移 （工具直迁+验证）、需改造 （代码/配置/SDK）、架构决策（无 1:1 对应，需产品与技术评审会拍板）。一张表即可驱动整个评估会的讨论。
3. 工作量预估：一套可按 WBS 拆到"人日"的框架
AWS 场景工作量最容易失控的地方是把 IAM/S3/Lambda 类改造算成了"资源迁移"。推荐拆法如下（口径：1 人日 = 8 小时，实施人员具备腾讯云 1~3 年经验，不含业务重构）：
| WBS | 工作包 | 估算区间(人日) | 主要假设 / 风险 |
|---|---|---|---|
| 1.0 | 项目管理与评估深化 | 3~5 | 需业务、开发、运维三方参与 |
| 2.0 | 账号与网络前置 | 5~8 | 专线申请周期是硬约束（P1） |
| 2.1 | CAM 账号与策略重写 | 3~6 | IAM 策略 40 条，含安全评审 |
| 2.2 | VPC/子网/路由/安全组重建 | 5~8 | 安全组需按业务最小化收敛 |
| 3.0 | 计算迁移（EC2→CVM） | 8~15 | 120 台批量，含内核检查与验证 |
| 4.0 | 存储迁移（S3→COS 等） | 6~12 | 数据量 + 存量链接/ SDK 盘点先行 |
| 5.0 | 数据库迁移（DTS 在线） | 6~10 | 每套库全量+增量+校验+割接 |
| 6.0 | 无服务器与应用集成改造 | 10~20 | Lambda/SQS/Step Functions 数量决定 |
| 7.0 | 安全合规重建 | 4~8 | KMS 换钥 + CloudTrail 留存 + WAF |
| 8.0 | 可观测与 CI/CD 重建 | 5~10 | 告警规则、CLS、流水线全重配 |
| 9.0 | 集成测试 / UAT / 演练 | 8~15 | 割接演练至少 1 次 |
| 10.0 | 正式割接 + 观察期 + 收尾 | 5~10 | 观察期 2~4 周，回滚预案就绪 |
合计典型区间：约 68~119 人日（不含业务代码重构），若含 Lambda/Step Functions 深度改造，6.0 还会上浮。
怎么用这张表跟领导/甲方对齐？三步：
- 先对齐假设：把"不含业务重构、实施人员经验档、专线周期"三条假设念出来，通常争议立刻集中在假设上，而不是总数上；
- 给区间不给点值：方案汇报用上限，预算申请用下限+弹性，评审会上不会被"怎么比预估多一倍"打脸；
- 让 AI 复核遗漏：把 WBS 贴给 AI 问一句"基于 AWS 迁腾讯云场景，这个 WBS 还漏了哪些常见工作包？"，让 AI 帮你查漏（通常能补出"DNS 切换演练""回滚验证""License 合规确认"等项）。
4. 评估后落地：迁移策略的默认建议
评估完别急着动手，先按迁移策略给资源分层，避免"一把梭"：
- Rehost（平移）：EC2、EBS、大部分 RDS------工具直迁，验证后切换；
- Replatform（换平台）：S3→COS、CloudWatch→云监控、RDS→云数据库------产品级替换，配置/SDK 改造；
- Refactor（重构）：DynamoDB、Step Functions、SQS/SNS------能平移的全是幻觉，单独立项评估成本；
- Retain（暂留）/ Retire（下线）：AWS 上已无业务流量的资源，评估时顺手标记，别迁。
5. 小结
AWS → 腾讯云评估的诀窍就一句：把"产品对照"升级成"能力 + 权限 + 代码依赖三层对照"。产品名对得上不等于能平移，IAM/S3/Lambda 这类"藏着代码依赖"的组件必须单列改造工作包，工作量才会可信。
三篇系列至此闭环：第一篇讲"怎么让 AI 帮你快速出评估报告"，第二篇讲"怎么把源站信息收齐喂给 AI"，第三篇讲"AWS 场景的差异到底藏在哪里、工作量怎么拆"。方法论与 AI 结合后，一份可交付的迁移评估从"三周+靠经验"变成"一周内出初稿 + 人工复核关键项"，这正是运维 / 实施工程师在新一轮上云迁移里最值钱的技能。