Модель общей ответственности

Модель общей ответственности разделяет безопасность на две части: AWS защищает само облако, а Вы защищаете то, что создаёте в нём. Это одна из наиболее часто проверяемых на экзамене идей.

AWS отвечает за безопасность облака — центры обработки данных, оборудование, гипервизор и программное обеспечение управляемых сервисов. Вы не можете напрямую проводить его аудит, но AWS располагает сертификатами, подтверждающими соответствие требованиям.

Вы отвечаете за безопасность внутри облака: IAM, шифрование данных, установку обновлений OS и сетевые правила. Если Вы оставили корзину S3 общедоступной, это Ваша ответственность, а не AWS.

В случае EC2 граница ясна: AWS запускает хост и гипервизор, а Вы отвечаете за OS, приложения, группы безопасности и данные. Открытое правило SSH должны исправить Вы. Код находит такие правила.

Чем более управляемым является сервис, тем больше обязанностей берёт на себя AWS. В RDS AWS устанавливает обновления для ядра БД; в Lambda запускает всю среду выполнения; в S3 управляет всем нижележащим уровнем.

Независимо от сервиса, защита Ваших данных всегда остаётся Вашей обязанностью. AWS предоставляет инструменты — KMS и настройки шифрования, — но выбрать их и включить должны Вы.

AWS предоставляет физическую сеть, но Вы настраиваете VPC, подсети, группы безопасности и NACL. Оставить порт 22 открытым для всего мира — классическая и дорогостоящая ошибка.

AWS имеет множество сертификатов соответствия требованиям для своей инфраструктуры, но Вы должны подтвердить соответствие собственной конфигурации. Вам помогут такие инструменты, как Artifact, «Конфигурация» и Security Hub.

Контейнеры добавляют нюансы. При использовании ECS с EC2 Вы управляете хостом, а при использовании Fargate это делает AWS. Но сам образ контейнера всегда должны проверять и обновлять Вы.

На экзамене действует простая эвристика: за сбои физической инфраструктуры или программного обеспечения управляемых сервисов отвечает AWS; за сбои конфигурации, доступа, данных и OS в IaaS отвечает клиент.

AWS разделяет средства контроля на три вида: унаследованные (полностью AWS), управляемые клиентом (полностью Вами) и общие (обе стороны добавляют свой уровень, например при установке обновлений). Эта классификация встречается на экзамене.

Проверьте своё понимание концепций AWS Solutions Architect (SAA-C03) из этого урока.

Вы узнали, что AWS защищает инфраструктуру, а Вы — IAM, данные, OS и конфигурацию, и что при использовании более управляемых сервисов AWS берёт на себя больше обязанностей. Далее: подробный разбор IAM.