跳至主要内容

AWS 云安全性

责任共担模式

概述

我们在安全性与合规性上采取 AWS 与客户共担责任的模式。这种共担模式可以减轻客户的运营负担，因为从主机操作系统和虚拟层到服务运营所在设施的物理安全性，各种组件都由 AWS 负责运行、管理和控制。客户负责管理来宾操作系统（包括更新和安全补丁）、其他相关应用程序软件以及 AWS 提供的安全组防火墙的配置。客户应该仔细考虑自己选择的服务，因为他们的责任取决于所使用的服务、，这些服务与其 IT 环境的集成以及适用的法律法规。责任共担还为客户提供了部署需要的灵活性和控制力。如下图所示，这种责任区分通常涉及云“本身”的安全和云“内部”的安全。

Diagram illustrating the AWS shared responsibility model for security and compliance. The chart describes the division of security responsibilities between the customer (security 'in' the cloud: customer data, platform, applications, OS and firewall configuration, encryption, and traffic protection) and AWS (security 'of' the cloud: software, compute, storage, database, networking, hardware/infrastructure, regions, availability zones, edge locations).

了解 AWS 责任共担模式

对于 AWS 云中提供的所有服务，AWS 负责保护运行这些服务的全球基础设施。该基础设施由运行 AWS 云服务的硬件、软件、网络和设备组成。

客户责任由客户所选的 AWS 云服务确定。这决定了客户在履行安全责任时需要承担的配置工作量。例如，Amazon Elastic Compute Cloud (Amazon EC2) 等服务被归类为基础设施即服务 (IaaS)，因此要求客户执行所有必要的安全配置和管理任务。部署 Amazon EC2 实例的客户需要负责来宾操作系统（包括更新和安全补丁）的管理、客户在实例上安装的任何应用程序软件或实用工具，以及每个实例上 AWS 提供的防火墙（称为安全组）的配置。对于抽象化服务，例如 Amazon S3 和 Amazon DynamoDB，AWS 运营基础设施层、操作系统和平台，而客户通过访问终端节点存储和检索数据。客户负责管理其数据（包括加密选项），对其资产进行分类，以及使用 IAM 工具分配适当的权限。

客户/AWS 责任共担模式还涵盖 IT 控制体系。正如 AWS 与客户共担 IT 环境的运行责任一样，IT 控制体系的管理、运行和验证也由二者共担。AWS 可以管理与 AWS 环境中部署的物理基础架构相关联的控制体系（以前可能由客户管理），从而帮助客户减轻运行控制体系的负担。每个客户在 AWS 中的部署方式都不相同，因此将某些 IT 控制体系的管理工作转移给 AWS 之后会形成（新的）分布式控制环境，为客户带来优势。然后，客户可以使用可用的 AWS 控制和合规性文档，根据需要执行控制体系评估和验证流程。以下是由 AWS、AWS 客户和/或两者共同管理的控制机制示例。

客户完全继承自 AWS 的控制体系。

  • 物理和环境控制体系

同时适用于基础设施层和客户层，但位于完全独立的上下文或环境中的控制体系。在共享控制体系中，AWS 会提出基础设施方面的要求，而客户必须在使用 AWS 服务时提供自己的控制体系实施。示例包括：

  • 补丁管理 – AWS 负责修补和修复基础设施内的缺陷，而客户负责修补其来宾操作系统和应用程序。
  • 配置管理 – AWS 负责维护基础设施设备的配置，而客户负责配置自己的来宾操作系统、数据库和应用程序。
  • 认知和培训 – AWS 负责培训 AWS 员工，而客户必须负责培训自己的员工。

完全由客户负责（基于其部署在 AWS 服务中的应用程序）的控制体系。示例包括：

  • 需要客户在特定安全环境中路由数据或对数据进行分区的服务和通信保护或分区安全性。

在实践中执行 AWS 责任共担模型

客户了解 AWS 责任共担模式及其对云中运营的普遍适用性后，就必须确定如何在使用案例中执行这一模式。客户的责任会受到多种因素的影响而有所不同，其中包括他们所选择的 AWS 服务及区域、这些服务在他们的 IT 环境中的融入程度、他们的企业和工作负载所适用的法律与法规。

以下练习可帮助客户根据特定的使用案例确定责任分配：

页面主题

开始使用

全部打开

评估 AWS 安全性、身份与合规性服务，了解如何使用这些服务，以帮助您实现安全性与合规性目标。

利用 Cloud Audit Academy 培训计划，为您的内部及外部审计团队提供云专属学习机会。

查看第三方审计认证文件，以确定继承控制体系以及可能需要保留以在环境中实施的控制措施。

针对 AWS 工作负载执行 Well-Architected Review，以评估安全性、可靠性和性能相关最佳实践的实施情况。

了解 AWS Marketplace 数字目录中可用的解决方案，其中收录来自独立软件供应商的数千种软件产品，以便查找、测试、购买和部署在 AWS 上运行的软件。

了解 AWS 安全能力合作伙伴，他们具有深厚的专业知识和经过证实的成功经验，可确保云采用的每个阶段（从最初的迁移到持续的日常管理）的安全。

考虑采用 AWS Cloud Adoption Framework（CAF）和 Well-Architected 最佳实践，以大规模规划和执行数字化转型。

在 AWS 服务文档的安全章节中查看单项 AWS 服务的安全功能和配置选项。

 

确定外部和内部安全状态以及相关合规要求与目标，同时考虑 NIST 网络安全框架（CSF）和 ISO 等行业框架。