Regiões, Zonas de Disponibilidade e Localizações de Borda

A AWS opera em locais reais no mundo todo, e onde seus dados ficam armazenados influencia a segurança deles. Os três conceitos principais são Regiões, Zonas de Disponibilidade e Localizações de borda.

Uma Região é uma área geográfica isolada, como o norte da Virgínia ou a Irlanda. Os dados que você coloca em uma Região permanecem nela, a menos que você os mova — algo essencial para cumprir as leis locais.

Como as Regiões são isoladas, escolher uma determina onde seus dados ficam fisicamente armazenados. Regras como a GDPR podem exigir que eles permaneçam em determinado local, portanto essa escolha é um controle efetivo.

Dentro de uma Região existem várias Zonas de Disponibilidade — centros de dados separados, cada um com sua própria energia e rede. Elas permitem que seu aplicativo continue funcionando se um centro ficar indisponível.

Para proteger dados, o limite da Região é o mais importante: ele determina a residência e o isolamento. As AZs servem para manter o funcionamento durante falhas. São funções diferentes, e ambas são importantes.

As Localizações de borda são pontos próximos dos usuários, usados pelo CloudFront e pelo Route 53 para reduzir a latência. Elas também são locais onde defesas como o WAF podem filtrar o tráfego antes que ele chegue até você.

Como as Localizações de borda ficam próximas dos usuários, são o local ideal para bloquear ataques logo no início. Um ataque DDoS pode ser absorvido ali antes mesmo de alcançar seus servidores principais.

A maioria dos serviços usa endpoints regionais, portanto uma ação em uma Região não afeta outra. Você precisa ativar ferramentas como o GuardDuty em cada Região; caso contrário, haverá pontos cegos.

Uma pequena quantidade de serviços é global — IAM, CloudFront e Route 53. Suas configurações se aplicam a todos os lugares ao mesmo tempo, não por Região. Saber disso indica onde um controle realmente entra em vigor.

Um bom projeto escolhe Regiões para atender à conformidade, distribui recursos entre AZs para obter resiliência e filtra ameaças na borda. As provas adoram esconder no cenário uma pista sobre residência dos dados.

Algumas Regiões mais recentes exigem adesão opcional: ficam desativadas até que você as habilite. Manter desativadas as Regiões não utilizadas também é um controle — há menos locais para invasores se esconderem e menos locais para monitorar.

Aplique a geografia da AWS à segurança.

Recapitulação: as Regiões determinam a residência dos dados, as Zonas de Disponibilidade acrescentam resiliência e as Localizações de borda filtram ameaças próximas dos usuários. A maioria dos serviços é definida por Região; o IAM é global.