รีเจียน Availability Zone และตำแหน่ง Edge

AWS ให้บริการอยู่ในสถานที่จริงทั่วโลก และตำแหน่งที่จัดเก็บข้อมูลมีผลต่อความปลอดภัย แนวคิดสำคัญสามประการคือ ภูมิภาค โซนความพร้อมใช้งาน และตำแหน่งขอบเครือข่าย

ภูมิภาคคือพื้นที่ทางภูมิศาสตร์ที่แยกเป็นอิสระ เช่น เวอร์จิเนียตอนเหนือหรือไอร์แลนด์ ข้อมูลที่คุณนำไปไว้ในภูมิภาคหนึ่งจะยังอยู่ที่นั่น เว้นแต่คุณจะย้ายข้อมูลออก ซึ่งเป็นเรื่องสำคัญต่อการปฏิบัติตามกฎหมายท้องถิ่น

เนื่องจากภูมิภาคถูกแยกออกจากกัน การเลือกภูมิภาคจึงเป็นตัวกำหนดว่าข้อมูลของคุณจะถูกจัดเก็บอยู่ที่ใดทางกายภาพ กฎอย่าง GDPR อาจกำหนดให้ข้อมูลอยู่ในสถานที่ที่ระบุ ดังนั้นการเลือกนี้จึงเป็นการควบคุมที่มีผลจริง

ภายในภูมิภาคหนึ่งจะมีโซนความพร้อมใช้งานหลายโซน ซึ่งเป็นศูนย์ข้อมูลที่แยกจากกันและมีระบบไฟฟ้ากับเครือข่ายของตนเอง ทำให้แอปของคุณยังทำงานได้แม้ศูนย์ข้อมูลแห่งหนึ่งหยุดทำงาน

ในการปกป้องข้อมูล ขอบเขตของภูมิภาคสำคัญที่สุด เพราะเป็นตัวกำหนดถิ่นที่อยู่และการแยกออกจากกัน ส่วน AZ มีหน้าที่ช่วยให้ระบบยังทำงานได้เมื่อเกิดความขัดข้อง ทั้งสองอย่างมีหน้าที่ต่างกัน แต่สำคัญทั้งคู่

ตำแหน่งขอบเครือข่ายคือสถานที่ที่อยู่ใกล้ผู้ใช้ ซึ่ง CloudFront และ Route 53 ใช้เพื่อลดความหน่วง ตำแหน่งเหล่านี้ยังเป็นจุดที่กลไกป้องกันอย่าง WAF สามารถกรองการรับส่งข้อมูลก่อนจะมาถึงคุณ

เนื่องจากตำแหน่งขอบเครือข่ายอยู่ใกล้ผู้ใช้ จึงเหมาะอย่างยิ่งสำหรับการหยุดการโจมตีตั้งแต่ระยะแรก การโจมตีแบบปฏิเสธการให้บริการแบบกระจายสามารถถูกดูดซับไว้ที่นั่น ก่อนจะส่งผลกระทบต่อเซิร์ฟเวอร์หลักของคุณ

บริการส่วนใหญ่ใช้ปลายทางระดับภูมิภาค ดังนั้นการดำเนินการในภูมิภาคหนึ่งจะไม่ส่งผลต่ออีกภูมิภาคหนึ่ง คุณต้องเปิดใช้เครื่องมืออย่าง GuardDuty แยกกันในแต่ละภูมิภาค มิฉะนั้นจะมีจุดบอดในการตรวจจับ

บริการบางประเภทเป็นบริการทั่วโลก เช่น IAM, CloudFront และ Route 53 การตั้งค่าของบริการเหล่านี้มีผลพร้อมกันทุกที่ ไม่ได้แยกตามภูมิภาค การทราบเรื่องนี้ช่วยให้คุณเข้าใจว่าการควบคุมมีผลจริงที่ใด

การออกแบบที่ดีจะเลือกภูมิภาคให้สอดคล้องกับข้อกำหนด ใช้หลาย AZ เพื่อเพิ่มความทนทาน และกรองภัยคุกคามที่ขอบเครือข่าย ข้อสอบมักซ่อนคำใบ้เรื่องถิ่นที่อยู่ของข้อมูลไว้ในสถานการณ์

ภูมิภาคใหม่บางแห่งเป็นแบบต้องเลือกเปิดใช้ ซึ่งจะปิดไว้จนกว่าคุณจะเปิดใช้งาน การปิดภูมิภาคที่ไม่ได้ใช้ไว้ก็เป็นการควบคุมรูปแบบหนึ่ง เพราะช่วยลดทั้งจุดซ่อนตัวของผู้โจมตีและจำนวนพื้นที่ที่ต้องตรวจสอบ

สรุป: ภูมิภาคกำหนดถิ่นที่อยู่ของข้อมูล โซนความพร้อมใช้งานเพิ่มความทนทาน และตำแหน่งขอบเครือข่ายกรองภัยคุกคามใกล้ผู้ใช้ บริการส่วนใหญ่ทำงานแยกตามภูมิภาค ส่วน IAM เป็นบริการทั่วโลก