区域、可用区和边缘站点

AWS 在全球各地的实际地点运行，而数据存储的位置会影响其安全性。这里有三个重要概念：区域、可用区和边缘站点。

区域是彼此隔离的地理区域，例如弗吉尼亚北部或爱尔兰。除非您主动移动数据，否则放入某个区域的数据会一直留在那里；这对遵守当地法律至关重要。

由于各个区域彼此隔离，选择某个区域就决定了数据实际存储的位置。GDPR 等法规可能要求数据留在特定地点，因此区域选择本身就是一项真正的安全控制。

一个区域内包含多个可用区，它们是拥有独立电力和网络的数据中心。这样，即使其中一个数据中心发生故障，您的应用仍能继续运行。

在保护数据时，区域边界最为重要：它决定数据驻留位置和隔离范围。AZ 主要用于在发生故障时保持服务可用。两者职责不同，但都很重要。

边缘站点位于靠近用户的位置，CloudFront 和 Route 53 会利用它们来降低延迟。WAF 等防御机制也可以在流量到达您之前，先在这里进行过滤。

由于边缘站点靠近用户，因此非常适合尽早拦截攻击。分布式拒绝服务攻击洪流可以先在边缘站点被吸收，从而避免触及您的核心服务器。

大多数服务使用区域级终端节点，因此在一个区域执行的操作不会影响另一个区域。您必须在每个区域分别启用 GuardDuty 等工具，否则就会出现盲区。

少数服务是全局服务，包括 IAM、CloudFront 和 Route 53。它们的设置会同时应用到所有地方，而不是按区域分别应用。了解这一点，您才能知道某项控制究竟在哪里生效。

合理的设计会根据合规要求选择区域，跨多个 AZ 部署以提高恢复能力，并在边缘站点过滤威胁。考试很喜欢在题目情境中隐藏数据驻留方面的提示。

有些较新的区域需要选择加入，默认处于关闭状态，直到您主动启用。关闭不使用的区域本身就是一项控制措施：攻击者可以藏身的地方更少，需要监控的地方也更少。

将 AWS 地理位置知识应用到安全场景中。

总结：区域决定数据驻留位置，可用区提高恢复能力，边缘站点则在靠近用户的位置过滤威胁。大多数服务按区域提供；IAM 是全局服务。