Regiony, Availability Zones i Edge Locations

AWS działa w rzeczywistych lokalizacjach na całym świecie, a miejsce przechowywania danych wpływa na ich bezpieczeństwo. Trzy najważniejsze pojęcia to regiony, strefy dostępności i lokalizacje brzegowe.

Region to odizolowany obszar geograficzny, taki jak Wirginia Północna lub Irlandia. Dane umieszczone w regionie pozostają w nim, dopóki nie zostaną przeniesione — ma to kluczowe znaczenie przy przestrzeganiu lokalnych przepisów.

Regiony są od siebie odizolowane, więc wybór regionu określa, gdzie fizycznie znajdują się dane. Przepisy takie jak GDPR mogą wymagać ich przechowywania w określonym miejscu, dlatego wybór regionu jest rzeczywistym mechanizmem kontroli.

W regionie znajduje się kilka stref dostępności — odrębnych centrów danych z własnym zasilaniem i siecią. Dzięki nim aplikacja może działać dalej, gdy jedno z centrów przestanie działać.

W kontekście ochrony danych najważniejsza jest granica regionu: określa rezydencję danych i izolację. Strefy dostępności zapewniają działanie podczas awarii. To różne zadania, ale oba są ważne.

Lokalizacje brzegowe znajdują się blisko użytkowników i są używane przez CloudFront oraz Route 53 do zmniejszania opóźnień. To także miejsca, w których mechanizmy obronne, takie jak WAF, mogą filtrować ruch, zanim dotrze on do Państwa zasobów.

Ponieważ lokalizacje brzegowe znajdują się blisko użytkowników, są idealnym miejscem do wczesnego blokowania ataków. Fala DDoS może zostać odparta tam, zanim w ogóle dotknie głównych serwerów.

Większość usług korzysta z regionalnych punktów końcowych, dlatego działanie w jednym regionie nie wpływa na inny. Narzędzia takie jak GuardDuty trzeba włączać osobno w każdym regionie, inaczej powstaną luki w monitorowaniu.

Niewielka grupa usług jest globalna — należą do niej IAM, CloudFront i Route 53. Ich ustawienia obowiązują wszędzie jednocześnie, a nie osobno w każdym regionie. Wiedza ta pozwala określić, gdzie dana kontrola rzeczywiście zaczyna obowiązywać.

Przemyślany projekt wybiera regiony ze względu na zgodność z przepisami, rozkłada zasoby między strefy dostępności w celu zwiększenia odporności i filtruje zagrożenia na brzegu sieci. Na egzaminach często wskazówka dotycząca rezydencji danych jest ukryta w opisie sytuacji.

Niektóre nowsze regiony wymagają aktywacji — są wyłączone, dopóki nie zostaną włączone. Pozostawienie nieużywanych regionów wyłączonych samo w sobie jest mechanizmem kontroli: oznacza mniej miejsc, w których mogą ukryć się atakujący, i mniej elementów do monitorowania.

Zastosuj wiedzę o geografii AWS do bezpieczeństwa.

Podsumowanie: regiony określają rezydencję danych, strefy dostępności zwiększają odporność, a lokalizacje brzegowe filtrują zagrożenia blisko użytkowników. Większość usług działa w ramach regionów, natomiast IAM jest globalny.