Главная мысль
Не определяйте границу ответственности только по названию модели. Для каждого сервиса зафиксируйте, какие уровни обслуживает провайдер и за что вы отвечаете в настройках, данных, идентификации и приложениях.
Уровни облачной инфраструктуры
Облачный сервис работает на физических вычислительных ресурсах, системах хранения и сетях. Виртуализация предоставляет эти ресурсы в виде виртуальных машин и других сервисов, а управление и оркестрация выделяют, настраивают и масштабируют их. Приложения работают поверх этих уровней, а пользователи подключаются через интернет или частные каналы связи.
Вычисления
Виртуальные машины, контейнеры и бессерверные функции запускают приложения.
Хранение и данные
Объектное, блочное и файловое хранилища выбирают под разные нагрузки; резервное копирование планируют отдельно.
Сеть и управление
Виртуальные сети, правила и автоматизация связывают сервисы и делают изменения воспроизводимыми.
Сравните модели размещения
Модель размещения описывает, кому выделена инфраструктура и где она работает. Это отдельный вопрос от модели сервиса: организация может использовать разные модели сервисов в публичной, частной или смешанной среде.
Публичное облако
Провайдер обслуживает нескольких клиентов на общей физической инфраструктуре; ресурсы логически изолированы. Модель упрощает управление и масштабирование, но настройки и управление идентификацией по-прежнему важны.
Частное облако
Среда выделена одной организации и может размещаться внутри неё или у провайдера. Она может дать больше возможностей контроля, но также увеличить ответственность организации за планирование, эксплуатацию и расходы.
Гибридная и мультиоблачная
Гибридная модель связывает частную среду с публичным облаком; мультиоблачная использует несколько облачных провайдеров. Обе модели дают гибкость, но требуют согласованного управления идентификацией, журналами, сетью и политиками.
IaaS, PaaS и SaaS: распределение управления
Модель сервиса показывает, какими техническими уровнями управляет провайдер, а какие остаются под контролем клиента. Она задаёт общее направление; обязанности зависят от конкретного сервиса и его настройки.
| Модель | Чем управляет провайдер | Чем управляет клиент | Типичный сценарий |
|---|---|---|---|
| IaaS | Физическое оборудование, гипервизор и выделение виртуальных ресурсов. | Гостевая ОС, обновления, сетевые правила, приложения, идентификация и данные. | Запуск существующего приложения на виртуальной машине; гибкие ресурсы для веб-размещения, тестирования и восстановления. |
| PaaS | Инфраструктура, операционная система, среда выполнения и компоненты управляемой платформы. | Код приложения, данные, пользователи и разрешения, настройки приложения и безопасный процесс выпуска. | Создание API и приложений с инструментами платформы, управляемой средой выполнения и CI/CD; заранее проверьте потребность в настройке ОС и переносимости. |
| SaaS | Приложение и платформа, на которой оно работает. | Учётные записи, политики доступа, классификация и передача данных, устройства и правила использования. | Использование готовой почтовой, рабочей или CRM-системы. |
Распределение ответственности за безопасность
Провайдер обычно отвечает за безопасность своих дата-центров и базовой инфраструктуры сервиса. Клиент защищает данные, учётные записи, доступ, приложения и операционные системы, которыми управляет, в соответствии с настройками выбранного сервиса. PaaS и SaaS передают провайдеру больше технических задач, но не снимают с клиента ответственность за данные и доступ. Проверяйте обязанности в документации конкретного продукта.
Назначьте владельца сервиса
Для каждой учётной записи, сервиса и рабочей нагрузки назначьте ответственных за технические и бизнес-задачи. Определите, какими документами провайдер подтверждает свои меры защиты и как вы проверите собственные.
Управляйте доступом и данными
Выдавайте минимально необходимые права, защищайте привилегированные аккаунты, проверяйте публичный доступ, планируйте шифрование и резервное копирование с учётом чувствительности данных.
Проверяйте для каждого сервиса
В IaaS-сценарии, например с EC2, клиент отвечает за гостевую ОС, приложение и сетевые правила. В управляемом сервисе, например S3, провайдер обслуживает больше уровней платформы, а клиент настраивает данные, разрешения и совместный доступ. Эти примеры не заменяют условия договора и параметры конкретной услуги.
Карта сервисов AWS
AWS объединяет сервисы вычислений, хранения, баз данных, идентификации и сетей. Важно понимать не только название, но и то, каким ресурсом управляет сервис и где остаётся ответственность за настройку.
Amazon EC2
Виртуальные серверы для приложений. Клиент управляет гостевой ОС, обновлениями программ, приложениями и группами безопасности.
Amazon S3
Объектное хранилище. Клиент настраивает разрешения объектов, политики контейнеров S3 (bucket), классификацию данных и подходящие параметры шифрования.
Amazon RDS
Управляемая реляционная база данных. Сервис может сократить часть операционной работы; клиент по-прежнему управляет данными, доступом, сетевым размещением и подключениями приложений.
AWS IAM и Amazon VPC
IAM управляет идентификацией и разрешениями, а VPC предоставляет логически изолированную сеть. Клиент отвечает за корректные политики, маршруты и доступ к ресурсам.
Платформы интеграции и коммуникаций
Выбирайте платформенный сервис по задаче приложения. Коммуникационные API и интеграция между системами решают разные задачи.
CPaaS · Коммуникационные API
Добавляет в приложение голосовые вызовы, видео и сообщения через API. Клиент управляет доступом пользователей, потоками данных и логикой приложения.
iPaaS · Интеграция систем
Связывает облачные и локальные приложения, данные и процессы. Определите права интеграционных учётных записей, состав передаваемых данных и порядок повторной обработки при сбое.