AWS 공동 책임 모델

공동 책임 모델은 명확한 경계를 제시합니다. AWS는 클라우드 자체를 보호하고, 사용자는 클라우드에 배치한 것을 보호합니다. 다른 내용을 배우기 전에 이 원칙부터 익히십시오.

AWS는 클라우드 자체의 보안을 담당합니다. 데이터 센터, 하드웨어, 네트워킹, 가상화 계층이 여기에 포함됩니다. 사용자가 하이퍼바이저를 패치하거나 건물의 출입문을 지킬 필요는 없습니다.

사용자는 클라우드 내부의 보안을 담당합니다. 자신의 데이터, 자격 증명, 네트워크 규칙, 운영 체제, 애플리케이션 코드가 여기에 포함됩니다. 버킷을 공개 상태로 두었다면 그 책임은 AWS가 아니라 사용자에게 있습니다.

책임의 경계는 서비스에 따라 달라집니다. EC2에서는 게스트 OS를 관리해야 하지만, 관리형 서비스나 서버리스 서비스를 사용하면 AWS가 더 많은 부분을 담당합니다. 그러나 데이터와 액세스 권한은 언제나 사용자의 책임입니다.

IaaS인 EC2에서는 OS 패치, 방화벽, 애플리케이션 보안 등 사용자가 해야 할 일이 가장 많습니다. 관리형 서비스와 서버리스 서비스를 사용하면 그중 더 많은 부분을 AWS가 담당합니다.

어떤 서비스를 사용하든 데이터와 데이터에 액세스할 수 있는 주체는 항상 사용자의 책임입니다. AWS가 사용자를 대신해 버킷 정책, 권한 또는 암호화를 결정하지는 않습니다.

시험에서 자주 나오는 함정은 무엇을 누가 패치하는지 묻는 문제입니다. EC2에서는 사용자가 게스트 OS를 패치하고, AWS는 호스트와 하이퍼바이저를 패치합니다. 관리형 서비스를 사용하면 그중 더 많은 책임이 AWS로 넘어갑니다.

사용자는 AWS로부터 물리적 통제와 환경 통제 같은 일부 통제 수단을 상속합니다. 이러한 통제는 SOC 보고서 같은 증명 자료로 뒷받침됩니다. 그 위에 사용자의 통제 수단을 추가로 적용해야 합니다.

AWS는 안전한 구성 요소를 제공하지만, 안전한 기본값이 항상 보장되는 것은 아닙니다. 암호화를 사용할 수 있어도 강제로 적용되지는 않을 수 있으므로 암호화를 활성화하는 것은 사용자의 책임입니다.

많은 SCS-C02 문제는 누구에게 책임이 있는지 묻습니다. 하드웨어나 글로벌 백본의 문제라면 AWS의 책임입니다. 권한, 공개 리소스 또는 패치되지 않은 OS의 문제라면 사용자의 책임입니다.

이를 명확한 경계를 가진 협력 관계로 생각하십시오. AWS는 안전한 기반을 제공하고 그 사실을 입증하며, 사용자는 그 위에 자격 증명, 암호화, 패치를 적용해 안전하게 구축합니다.

공동 책임 모델을 적용해 보십시오.

AWS는 클라우드를 보호합니다(하드웨어, 데이터 센터, 하이퍼바이저). 사용자는 클라우드 내부에 있는 것을 보호합니다(데이터, 자격 증명, 네트워크, 게스트 OS). 대부분의 책임 소재 문제는 이 원칙으로 해결됩니다.