疑难点拨 | AWS 共享责任模型

  官方指导

AWS 共享责任模型是指亚马逊云科技和客户的共同承担安全性和合规性的责任的框架。总体上说，AWS 负责运行、管理和控制从主机操作系统、虚拟层到服务运营所在设施的物理组件的安全性。客户负责管理 AWS 实例操作系统（包括更新和安全补丁）、其它相关应用程序软件、以及 AWS 提供的安全组防火墙的配置等。

  比较分析

AWS 负责“云本身的安全”

AWS 负责保护运行所有 AWS 云服务的基础设施。该基础实施由运行 AWS 云服务的硬件、软件、网络和设备组成。

客户负责“云内部的安全”

客户责任并非固定不变，而是跟随客户使用的 AWS 云服务不同而不同。客户在履行安全责任时必须完成的配置工作量。

1. 基础设施即服务 (IaaS)
客户需要执行所有必要的安全配置和管理任务。例如实例操作系统（包括更新和安全补丁）的管理、在实例上安装的任何应用程序软件或实用工具，以及每个实例上 AWS 提供的防火墙（称为安全组）的配置。比如：EC2 实例。

2. 抽象化服务（Abstract）
客户通过访问终端节点存储和检索数据。客户负责管理其数据（包括加密选项），对其资产进行分类，以及使用 IAM 工具分配适当的权限。比如：Amazon S3 和 Amazon DynamoDB 等。

3. IT 控制体系
主要包括继承控制体系、共享控制体系和特定于客户的控制体系。继承控制体系是完全继承自 AWS 的控制体系。共享控制体系适用于基础设施层和客户层，AWS 会提出基础设施方面的要求，客户必须在使用 AWS 服务时提供自己的控制体系实施。特定于客户的控制体系 是完全由客户负责，比如基于其部署在 AWS 服务中的应用程序。

  备考要点

AWS 负责“云本身的安全”，客户负责“云内部的安全”，AWS 和客户共同承担安全性和合规性责任。EC2 等基础设施即服务 (IaaS)中，客户需要执行的操作系统的安全配置、安全补丁、自行安装的应用程序管理、安全管理。抽象化服务（Abstract）需要较少的管理，客户负责数据（包括加密选项）管理和权限管理。IT 控制体系的责任，根据客户使用的 AWS 服务，有些控制体系是完全由 AWS 管理，有些控制体系是完全由客户管理，也有些控制体系是需要 AWS 和客户共同管理。