CLF
寫給初學者的 AWS 責任共擔模型整理
整理 Cloud Practitioner 常考的 AWS 責任共擔模型,以初學者角度說明 AWS 與使用者各自的責任範圍。
學習 AWS Cloud Practitioner 時,第一個必須掌握的觀念就是責任共擔模型。它的意思並不是「AWS 會幫你顧好所有事情」,而是讓你清楚分辨 AWS 負責哪些範圍、使用者負責哪些範圍的一套思維框架。
結論
AWS 負責雲端基礎架構本身的安全,使用者則負責自己在雲端上如何設定、如何使用。
簡單來說,AWS 對「雲端的安全 (Security OF the Cloud)」負責,使用者則對「雲端中的安全 (Security IN the Cloud)」負責。
AWS 的責任
AWS 負責的範圍包括實體資料中心、硬體、網路基礎架構、虛擬化平台等。使用者不需要也不可能進入資料中心去保護伺服器,這些都由 AWS 管理。
舉例來說,實體伺服器故障處理、資料中心的門禁管理、電力與空調管理,都是 AWS 的責任。
使用者的責任
使用者的責任包括 IAM 使用者與 IAM 角色的權限設定、S3 儲存貯體的公開設定、EC2 上的 OS 設定、應用程式漏洞處理,以及所儲存資料的管理等。
舉例來說,如果不小心把 S3 儲存貯體設成公開,基本上就是使用者的設定疏失。即使 AWS 安全地維運 S3 這項服務本身,只要使用者設定錯誤,還是會造成資料外洩。
責任範圍會隨服務而改變
責任共擔模型的特點是:使用者的責任範圍會依使用的服務不同而變化。
EC2 仍然要由使用者管理 OS 與中介軟體;而 Lambda、DynamoDB 這類受管服務 (Managed Service),則可以把大部分的伺服器管理工作交給 AWS。
這也是考試常考的重點。服務越偏向受管,使用者就越能脫離基礎架構管理,把精力集中在資料、權限、設定與應用程式上。
考試重點
Cloud Practitioner 常會從以下幾個角度出題:
- AWS 負責管理資料中心與實體基礎架構
- 使用者負責管理 IAM、資料與應用程式設定
- 在 EC2 中,使用者的責任範圍較大,例如 OS 修補
- 在受管服務中,AWS 負責管理的範圍會擴大
實務上的注意事項
實務上的重點不是「用 AWS 就安全」,而是「有沒有把 AWS 安全地設定好」。特別是 IAM、S3、Security Group、CloudWatch Logs,都是初學者容易出包的地方。
本網站的設計也遵循這個原則:S3 不直接對外公開,而是透過 CloudFront OAC 提供;GitHub Actions 的 IAM 權限也限縮在 S3 部署與 CloudFront Invalidation 兩項。
相關用語
延伸閱讀
接下來學什麼
結合部落格文章與 AWS 術語集、服務比較、模擬題、架構圖,把考試知識和實作體驗連結起來理解。