Regioni, Availability Zone ed Edge Location

AWS opera in luoghi reali in tutto il mondo e il luogo in cui risiedono i vostri dati influisce sulla loro sicurezza. I tre concetti fondamentali sono Regioni, Availability Zones ed Edge Locations.

Una Regione è un'area geografica isolata, come la Virginia settentrionale o l'Irlanda. I dati inseriti in una Regione restano lì finché non li spostate: un aspetto fondamentale per rispettare le leggi locali.

Poiché le Regioni sono isolate, sceglierne una determina dove risiedono fisicamente i vostri dati. Normative come il GDPR possono richiedere che rimangano in un luogo specifico, quindi la scelta è un vero controllo di sicurezza.

All'interno di una Regione sono presenti diverse Availability Zones: data center separati, con alimentazione e rete proprie. Consentono all'applicazione di continuare a funzionare anche se un data center si arresta.

Per proteggere i dati, il confine della Regione è quello più importante: stabilisce residenza e isolamento. Le AZ servono a mantenere operativi i sistemi in caso di guasto. Hanno funzioni diverse, ma sono entrambe importanti.

Le Edge Locations sono siti vicini agli utenti, utilizzati da CloudFront e Route 53 per ridurre la latenza. Sono anche il punto in cui difese come WAF possono filtrare il traffico prima che vi raggiunga.

Poiché le Edge Locations si trovano vicino agli utenti, sono il punto ideale per bloccare tempestivamente gli attacchi. Un flusso DDoS può essere assorbito lì prima di raggiungere i server centrali.

La maggior parte dei servizi usa endpoint regionali, quindi un'azione in una Regione non influisce sulle altre. Dovete attivare strumenti come GuardDuty per ogni Regione, altrimenti avrete punti ciechi.

Un numero limitato di servizi è globale: IAM, CloudFront e Route 53. Le loro impostazioni si applicano ovunque contemporaneamente, non per singola Regione. Saperlo indica dove un controllo ha realmente effetto.

Una progettazione efficace sceglie le Regioni in base ai requisiti di conformità, distribuisce i sistemi su più AZ per garantire resilienza e filtra le minacce all'edge. Negli esami è comune trovare nel caso un indizio relativo alla residenza dei dati.

Alcune Regioni più recenti sono opt-in: rimangono disattivate finché non le abilitate. Lasciare disattivate quelle inutilizzate è già un controllo di sicurezza: offre agli aggressori meno luoghi in cui nascondersi e riduce ciò che dovete monitorare.

In sintesi: le Regioni stabiliscono la residenza dei dati, le Availability Zones aggiungono resilienza e le Edge Locations filtrano le minacce vicino agli utenti. La maggior parte dei servizi è specifica per Regione; IAM è globale.