作者署名： 本文作者拥有8年AWS运维与成本管理经验，曾为超过50家企业客户执行AWS账户成本审计，累计识别并清理闲置资源节省超过$200万。
“我明明没有运行任何EC2实例，为什么每月还在被扣费？”——这是AWS用户社区最高频的困惑之一。
答案在于AWS的计费模型：资源存在即计费，不是资源使用才计费。 一个未挂载的EBS卷、一个未关联的弹性IP、一个运行着但零流量的NAT网关，都会持续产生费用。这些资源不会出现在“Top Services”图表中，不会触发任何告警，账单只是安静地、持续地增长。
本文梳理8个最常见的AWS隐性成本来源，每个都给出具体费用计算和清理方法。如果你正在困惑“为什么账单有额外费用”，这8个地方是最值得优先检查的。
漏洞1——未关联的弹性IP（Elastic IP）
费用机制： 弹性IP在关联到运行中的实例时免费，但一旦实例停止或EIP被解除关联，就开始按小时计费。自2024年2月起，AWS对所有公共IPv4地址（包括EIP）收取$0.005/小时，无论是否关联。未关联的EIP按闲置费率计费，约$3.60/月每个。
典型月费用： $3.60/个（$0.005 × 730小时）。如果账户中有20个被遗忘的EIP，年费用为$864——为零流量支付。
清理方法：
- 检查所有区域的Elastic IP列表，筛选未关联的IP
- 确认无业务用途后释放
- 注意：释放后IP地址无法恢复，确保没有DNS记录或白名单依赖该IP
检查命令：
aws ec2 describe-addresses --query 'Addresses[?AssociationId==null]'
漏洞2——闲置的NAT网关
费用机制： NAT网关同时收取小时费+数据处理费。在us-east-1，费率是$0.045/小时和$0.045/GB。一个运行整月、处理1TB流量的NAT网关，小时费约$32.85（$0.045 × 730小时），数据处理费约$46.08（1024GB × $0.045），合计约$78.93/月。
典型场景： 项目已下线，VPC还在，NAT网关忘了删除。即使零流量，每小时$0.045的小时费仍然照常收取——一个“什么都不做”的NAT网关，每月约$33。
清理方法：
- 检查所有VPC中的NAT网关
- 通过CloudWatch的
BytesOutToDestination指标查看流量 - 对无流量或流量极低的NAT网关，确认业务影响后删除
- 如果一个AZ的NAT网关承担了全部流量，考虑是否可以合并
漏洞3——未挂载的EBS卷
费用机制： EBS卷从创建起就计费，无论是否挂载到实例。AWS不会因为卷未被使用而停止收费。一个100GB gp3卷约$8/月（$0.08/GB·月）。
典型场景： 实例终止时，DeleteOnTermination属性默认未设置为True的非根卷会被保留下来。这些卷以“available”状态存在，持续计费。
清理方法：
- 在EC2控制台筛选状态为“available”的卷
- 检查创建时间和标签，确认无用途后删除
- 删除前创建快照作为最终备份（快照存储成本远低于卷）
检查命令：
aws ec2 describe-volumes --filters Name=status,Values=available
漏洞4——旧快照堆积
费用机制： EBS快照按存储量计费，标准层$0.05/GB·月。50TB的标准层快照每年费用$3,750；如果迁移到归档层（$0.0125/GB·月），每年仅需$937.60，节省$2,812.40。
典型场景： 自动化备份策略设置了保留期，但从未在生命周期中配置清理。快照持续累积，无人审查。
清理方法：
- 使用Amazon Data Lifecycle Manager（DLM）设置快照保留策略
- 对超过90天未访问的快照，考虑迁移到EBS Snapshot Archive归档层，存储成本降低75%
- 注意：删除快照时，被其他快照引用的数据不会被删除，实际节省可能低于预期
漏洞5——无保留策略的CloudWatch Logs
费用机制： CloudWatch Logs默认永久保留，日志数据无限期累积。日志量随业务增长持续增加，存储费用也持续增长。
典型场景： 应用日志、VPC Flow Logs、Lambda日志从未设置保留天数。半年后，日志存储费用成为账单中不可忽视的项目。
清理方法：
- 为每个Log Group设置保留天数（根据合规和调试需求，7天/14天/30天）
- 对高容量、长期保留的日志，启用CloudWatch Logs Intelligent Tiering智能分层，根据访问频率自动调整存储层
- 对长期归档需求，将日志导出到S3并配置生命周期策略，成本可降低10倍以上
漏洞6——跨可用区数据传输费
费用机制： 同一区域内跨AZ流量$0.01/GB（双向计费），实际双向成本$0.02/GB。
典型场景： 应用服务器在AZ-a，RDS主库在AZ-b，所有数据库查询都产生跨AZ流量。如果应用每天处理500GB数据库流量，月跨AZ费用为：500GB × 30天 × $0.01 × 2（双向）= $300/月。
优化方法：
- 将高频通信的资源部署在同一AZ
- 对于EKS工作负载，使用
topologySpreadConstraints或节点亲和性将关联服务调度到同一AZ - 使用VPC Endpoint的AZ亲和性配置，确保流量不绕行
需要注意： 将服务部署在同一AZ可以消除跨AZ流量费，但会引入单AZ故障风险。建议仅在非关键或可快速恢复的工作负载上采用此策略。
漏洞7——NAT网关的数据处理费
费用机制： NAT网关的数据处理费$0.045/GB，是在小时费之外的额外收费。大量访问S3、ECR、DynamoDB等AWS服务的流量如果走NAT网关，就会产生不必要的数据处理费。
典型场景： EKS集群中的Pod拉取ECR镜像、读取S3配置、查询DynamoDB会话数据，这些流量默认通过NAT网关出去，产生$0.045/GB的费用。而使用VPC Gateway Endpoint（S3、DynamoDB）完全免费，使用Interface Endpoint仅$0.01/GB。
优化方法：
- 为S3和DynamoDB创建Gateway Endpoint（免费，无小时费，无数据处理费）
- 为ECR、Secrets Manager、SSM等创建Interface Endpoint（$0.01/小时/AZ + $0.01/GB）
- 一个Interface Endpoint在三AZ部署的月费用约$21.90，相比NAT网关的$0.045/GB，流量越大节省越显著
漏洞8——开发/测试环境的24/7运行
费用机制： 非生产环境不需要全天运行。一个m5.large实例按需运行整月约$70，仅在工作时间运行（每天10小时，每月22天）约$21，节省70%。
优化方法：
- 使用AWS Instance Scheduler或自定义Lambda+EventBridge方案，为开发/测试环境设置自动启停计划
- 对RDS实例，注意停止后存储和备份仍然计费，但实例小时费暂停
- 对EKS集群，使用Karpenter或Cluster Autoscaler在工作时间外缩容节点组
一键自检——你的AWS账户中招了几个？
以下自检清单可直接复制使用。建议每月执行一次，或设置自动化扫描。
| # | 漏洞 | 自检方法 | 费用范围/月 | ✅ |
|---|---|---|---|---|
| 1 | 未关联EIP | EC2 → Elastic IPs → 筛选未关联 | $3.60/个 | ☐ |
| 2 | 闲置NAT网关 | VPC → NAT Gateways → 查看CloudWatch流量 | $33–$79/个 | ☐ |
| 3 | 未挂载EBS卷 | EC2 → Volumes → 筛选available | ~$8/100GB | ☐ |
| 4 | 旧快照堆积 | EC2 → Snapshots → 按创建时间排序 | $0.05/GB | ☐ |
| 5 | 无保留策略日志 | CloudWatch → Log Groups → 查看保留设置 | 取决于日志量 | ☐ |
| 6 | 跨AZ流量 | Cost Explorer → Data Transfer → 按AZ筛选 | $0.01/GB双向 | ☐ |
| 7 | NAT数据处理费 | Cost Explorer → NatGateway-Bytes | $0.045/GB | ☐ |
| 8 | 非生产24/7运行 | 检查dev/test环境实例的启停计划 | 可节省70% | ☐ |
如何系统性地解决这些问题
短期（本周）： 使用AWS Cost Explorer的“闲置资源”报告和“合理调整建议”功能。Cost Explorer可以识别低利用率的EC2实例、未使用的EIP和闲置的EBS卷。
中期（本月）： 建立月度资源审查流程。指定一名工程负责人每月审查一次Cost Explorer和CloudWatch数据，将成本审查纳入常规Sprint节奏。
长期（本季度）： 使用自动化工具定期扫描。AWSSpectre是一个开源的AWS资源浪费审计工具，可以扫描EC2、RDS、EBS、ELB、NAT网关、EIP、Lambda、快照和CloudWatch Logs等资源，每个发现都附带估算的月费用，帮助你按金额优先级排序清理。它支持按区域扫描、JSON输出用于自动化，以及SARIF格式输出到GitHub Security Tab。
结论
小漏洞积累起来，每年可以多花数万美元。 一个未关联的EIP每月$3.60看起来微不足道，但20个就是$864/年。一个闲置的NAT网关每月$33，加上3个就是$1,188/年。未挂载的EBS卷和旧快照的累积效应更大——在我们审计过的账户中，仅快照和EBS卷的隐性成本通常就占账单的5–8%。
这些费用不会触发任何告警，不会出现在任何仪表盘上，AWS也不会主动提醒你。唯一的方式是定期检查，或者设置自动化扫描。
如果你不确定从哪里开始，或者希望一次性系统性地清理所有隐性成本，联系MatataCloud获取免费账户审计。我们会基于你的Cost Explorer数据，识别出所有闲置和低效资源，并给出可执行的清理优先级建议。
延伸阅读：
- AWS成本优化实战案例：从月账单$85K降到$58K的完整复盘——当隐性成本清理完之后，下一步的深度优化怎么做
- AWS直接购买 vs 代理商购买：成本对比与选择指南——如果你需要专业协助清理，了解代理商能提供哪些额外价值
- 如何购买阿里云国际版ECS更省钱——跨云平台成本优化的延伸阅读
