Регионы, зоны доступности и периферийные расположения

AWS работает в реальных точках по всему миру, и место хранения данных влияет на их безопасность. Три ключевые концепции — это регионы, зоны доступности и пограничные местоположения.

Регион — это изолированная географическая область, например Северная Вирджиния или Ирландия. Данные, размещённые в регионе, остаются там, пока Вы не переместите их, что важно для соблюдения местных законов.

Поскольку регионы изолированы, выбор региона определяет, где физически хранятся Ваши данные. Такие правила, как GDPR, могут требовать их хранения в определённом месте, поэтому этот выбор является реальным средством контроля.

Внутри региона находятся несколько зон доступности — отдельных центров обработки данных с собственным электропитанием и сетью. Благодаря им приложение может продолжать работу при отказе одного центра.

При защите данных наиболее важна граница региона: она определяет местонахождение данных и изоляцию. AZ обеспечивают работоспособность при сбоях. Это разные задачи, и обе важны.

Пограничные местоположения находятся рядом с пользователями. CloudFront и Route 53 используют их для уменьшения задержки. В них также могут работать средства защиты, например WAF, фильтрующие трафик до того, как он достигнет Ваших ресурсов.

Поскольку пограничные местоположения находятся рядом с пользователями, они идеально подходят для ранней блокировки атак. Поток трафика при распределённой атаке типа «отказ в обслуживании» можно поглотить там, прежде чем он достигнет основных серверов.

Большинство сервисов используют региональные конечные точки, поэтому действие в одном регионе не затрагивает другой. Такие средства, как GuardDuty, необходимо включать отдельно в каждом регионе, иначе возникнут пробелы в наблюдении.

Небольшая группа сервисов является глобальной — IAM, CloudFront и Route 53. Их настройки применяются одновременно везде, а не отдельно в каждом регионе. Это помогает понять, где именно вступает в силу средство контроля.

Продуманное проектирование предусматривает выбор регионов с учётом требований соответствия, распределение ресурсов по AZ для повышения отказоустойчивости и фильтрацию угроз на границе сети. В экзаменационных заданиях часто прячут подсказку о местонахождении данных в описании сценария.

Некоторые новые регионы требуют предварительного подключения: по умолчанию они отключены, пока Вы не включите их. Отключение неиспользуемых регионов само по себе является средством контроля: злоумышленникам будет сложнее скрыться, а Вам придётся отслеживать меньше мест.

Примените знания о географии AWS к безопасности.

Повторим: регионы определяют местонахождение данных, зоны доступности повышают отказоустойчивость, а пограничные местоположения фильтруют угрозы рядом с пользователями. Большинство сервисов работают отдельно в каждом регионе, а IAM является глобальным.