AWS責任共有モデル

イントロ

AWSが守るものと、自分が守るものを分ける

責任共有モデルは、AWSがクラウド基盤を守り、利用者がクラウド内の設定やデータを守るという分担を示す考え方です。

定義

教科書では: セキュリティとコンプライアンスを、AWSとお客様が分担して担うというモデル。
言いかえると: 責任共有モデルでは、AWSに任せられる範囲と、自分で設定・管理すべき範囲を分けます。使うサービスが抽象化されるほど、自分の運用負担は変わります。

比較

責任の側AWS

責任の側お客様

責任の側変動

判断の軸は、クラウドの土台か、クラウド内で自分が扱うものかです。

要点

問題文では、AWSが管理する土台か、自分が置いたデータ・設定かを先に分ける。よくある誤解: AWSを使えばセキュリティは全部AWSが担当してくれると思う。

例

場面: EC2上にWebアプリを動かす。
順に考えると: AWSは物理サーバーやデータセンターを守ります。一方、EC2内のOS更新、アプリ設定、セキュリティグループ、データ管理は利用者側の責任として考えます。判断軸は、AWSが管理する土台か、自分が置いたデータ・設定かを先に分ける。
ここが結論: 「AWSが守る土台」と「自分が置く設定・データ」を分けると選択肢を絞れます。迷ったら、責任共有モデルとSecurity of the Cloudを分けます。

注意

確認

Q1

責任共有モデルで、お客様側の責任になりやすいものはどれですか。

まとめ

IAMはAWSリソースへのアクセスを安全に制御するサービスで、認証された主体に対して、必要最小限の操作だけを許可する考え方が重要である。