Модель общей ответственности AWS

Модель общей ответственности проводит чёткую границу: AWS защищает само облако, а Вы защищаете то, что размещаете в облаке. Изучите это прежде всего.

AWS отвечает за безопасность облака: центры обработки данных, оборудование, сеть и уровень виртуализации. Вам никогда не придётся устанавливать исправления на гипервизор или охранять дверь здания.

Вы отвечаете за безопасность в облаке: свои данные, идентичность, сетевые правила, операционные системы и код приложений. Если Вы оставили сегмент хранилища общедоступным, это Ваша ответственность, а не AWS.

Граница ответственности меняется в зависимости от службы. В EC2 Вы управляете гостевой OS; при использовании управляемых служб или бессерверных служб AWS берёт на себя больше обязанностей. Но Ваши данные и доступ к ним всегда остаются Вашей ответственностью.

IaaS, например EC2, оставляет Вам больше всего работы: установку исправлений для OS, настройку межсетевых экранов и безопасность приложений. Управляемые и бессерверные службы передают большую часть этих задач AWS.

Независимо от службы, Вы всегда владеете своими данными и определяете, кто может получить к ним доступ. AWS не устанавливает за Вас политики сегментов хранилища, разрешения или шифрование.

Классическая ловушка на экзамене: кто устанавливает исправления и для чего? В EC2 Вы устанавливаете исправления для гостевой OS, а AWS — для хост-системы и гипервизора. В управляемых службах большая часть этой ответственности переходит к AWS.

Некоторые средства контроля Вы наследуете от AWS — например физические и экологические меры, подтверждённые такими документами, как отчёты SOC. Затем Вы добавляете поверх них собственные средства контроля.

AWS предоставляет безопасные строительные блоки, но безопасные настройки по умолчанию не гарантируются. Шифрование может быть доступно, но не включено принудительно, — включить его должны Вы.

Во многих вопросах SCS-C02 спрашивается, кто несёт ответственность. Оборудование или глобальная магистральная сеть? Это AWS. Разрешение, общедоступный ресурс или неисправленная OS? Это Ваша ответственность.

Представляйте это как партнёрство с чёткой границей: AWS предоставляет безопасную основу и подтверждает её защищённость, а Вы безопасно строите поверх неё, используя идентичность, шифрование и установку исправлений.

Примените модель общей ответственности.

AWS защищает облако (оборудование, центры обработки данных, гипервизор), а Вы защищаете то, что находится в нём (данные, идентичность, сеть, гостевую OS). Большинство ситуаций с определением ответственности сводится к этому.