AWSの責任共有モデル

責任共有モデルは明確な境界を示します。AWSはクラウド自体を保護し、利用者はクラウドに配置するものを保護します。何よりも先に、この仕組みを理解しましょう。

AWSはクラウド自体のセキュリティを担当します。データセンター、ハードウェア、ネットワーク、仮想化レイヤーが対象です。利用者がハイパーバイザーにパッチを適用したり、建物のドアを警備したりすることはありません。

利用者はクラウド内のセキュリティを担当します。データ、アイデンティティ、ネットワークルール、オペレーティングシステム、アプリケーションコードが対象です。バケットをパブリックにした場合、それはAWSではなく利用者の責任です。

責任の境界はサービスによって変わります。EC2ではゲストOSを管理しますが、マネージドサービスやサーバーレスサービスでは、AWSがより多くを担当します。ただし、データとアクセス管理は常に利用者の責任です。

IaaSであるEC2では、OSのパッチ適用、ファイアウォール、アプリケーションセキュリティなど、利用者の作業が最も多くなります。マネージドサービスやサーバーレスサービスでは、その多くをAWSが担当します。

サービスにかかわらず、データとアクセスできる人物の管理責任は常に利用者にあります。AWSがバケットポリシー、権限、暗号化を利用者に代わって決めることはありません。

試験でよくあるひっかけは、何に誰がパッチを適用するかです。EC2では利用者がゲストOSにパッチを適用し、AWSがホストとハイパーバイザーに適用します。マネージドサービスでは、その多くをAWSが担当します。

利用者はAWSから、物理的および環境上の制御の一部を継承します。これらはSOCレポートなどの証明書類によって裏付けられています。その上に、利用者独自の制御を重ねます。

AWSは安全な構成要素を提供しますが、安全なデフォルト設定が保証されているわけではありません。暗号化が利用可能でも強制されない場合があり、有効化することは利用者の責任です。

多くのSCS-C02の問題では、誰に責任があるかが問われます。ハードウェアやグローバルバックボーンならAWSです。権限、パブリックなリソース、パッチ未適用のOSなら利用者です。

明確な境界を持つパートナーシップだと考えましょう。AWSは安全な基盤を提供してそれを証明し、利用者はアイデンティティ、暗号化、パッチ適用によって、その上に安全に構築します。

責任共有モデルを適用してみましょう。

AWSはクラウド（ハードウェア、データセンター、ハイパーバイザー）を保護し、利用者はその中にあるもの（データ、アイデンティティ、ネットワーク、ゲストOS）を保護します。責任の所在を問う多くの問題は、この考え方で解決できます。