Regionen, Availability Zones und Edge Locations

AWS läuft an realen Orten auf der ganzen Welt, und der Standort Ihrer Daten beeinflusst deren Sicherheit. Die drei wichtigsten Konzepte sind Regions, Availability Zones und Edge Locations.

Eine Region ist ein isoliertes geografisches Gebiet, etwa Northern Virginia oder Irland. Daten, die Sie in einer Region ablegen, bleiben dort, sofern Sie sie nicht verschieben – das ist entscheidend für die Einhaltung lokaler Gesetze.

Da Regionen isoliert sind, bestimmt die Auswahl einer Region, wo Ihre Daten physisch gespeichert werden. Vorschriften wie die DSGVO können verlangen, dass Daten an einem bestimmten Ort bleiben. Die Auswahl ist daher eine echte Sicherheitsmaßnahme.

Innerhalb einer Region gibt es mehrere Availability Zones – voneinander getrennte Rechenzentren mit eigener Stromversorgung und eigenem Netzwerk. Dadurch kann Ihre Anwendung den Ausfall eines Rechenzentrums überstehen.

Beim Schutz von Daten ist die Grenze der Region am wichtigsten: Sie bestimmt Datenresidenz und Isolation. AZs sorgen dafür, dass der Betrieb bei Ausfällen aufrechterhalten wird. Unterschiedliche Aufgaben, aber beide sind wichtig.

Edge Locations sind Standorte in der Nähe der Benutzer. CloudFront und Route 53 verwenden sie, um Verzögerungen zu reduzieren. Dort können auch Schutzmechanismen wie WAF den Datenverkehr filtern, bevor er Sie erreicht.

Da sich Edge Locations in der Nähe der Benutzer befinden, eignen sie sich hervorragend, um Angriffe frühzeitig zu blockieren. Eine DDoS-Flut kann dort abgefangen werden, bevor sie Ihre zentralen Server erreicht.

Die meisten Dienste verwenden regionale Endpunkte, daher wirkt sich eine Aktion in einer Region nicht auf eine andere aus. Sie müssen Tools wie GuardDuty für jede Region aktivieren, sonst entstehen Überwachungslücken.

Eine kleine Anzahl von Diensten ist global – darunter IAM, CloudFront und Route 53. Ihre Einstellungen gelten überall gleichzeitig und nicht pro Region. Wenn Sie das wissen, können Sie erkennen, wo eine Sicherheitsmaßnahme tatsächlich wirksam wird.

Ein durchdachtes Design wählt Regions für Compliance, verteilt Ressourcen für Resilienz über AZs und filtert Bedrohungen am Edge. In Prüfungsfragen ist der Hinweis auf die Datenresidenz oft im Szenario versteckt.

Einige neuere Regionen sind opt-in: Sie sind zunächst deaktiviert und müssen von Ihnen aktiviert werden. Nicht benötigte Regionen deaktiviert zu lassen, ist selbst eine Sicherheitsmaßnahme – es gibt weniger Orte, an denen sich Angreifer verstecken können, und weniger zu überwachen.

Wenden Sie die AWS-Geografie auf die Sicherheit an.

Zusammenfassung: Regions bestimmen die Datenresidenz, Availability Zones erhöhen die Resilienz und Edge Locations filtern Bedrohungen in der Nähe der Benutzer. Die meisten Dienste gelten pro Region; IAM ist global.