AWS 安全最佳实践是什么？

Question

AWS 安全最佳实践是什么？

Accepted Answer

保护 AWS 涉及多个层面——**身份和访问 (IAM)**、**网络安全**、**数据保护 (加密)**、**监测/检测** 和遵循 **共享责任模型**。安全是一项关键的、持续的规范，也是 Well-Architected 的支柱。

## 共享责任模型

```text
AWS secures the CLOUD (infrastructure: hardware, facilities, managed service internals).
YOU secure what's IN the cloud (your data, IAM, network config, OS patching on EC2,
  application security, access control).
→ Know the boundary: AWS handles infrastructure; YOU handle configuration and data.
  Most breaches are CUSTOMER misconfigurations (e.g. public S3 buckets), not AWS failures.
```

## 身份和访问

```text
✓ LEAST PRIVILEGE — grant only needed permissions (the most important IAM principle)
✓ Use ROLES (temporary credentials) not long-lived access keys; rotate any keys
✓ Protect the ROOT account (MFA, don't use it daily); enforce MFA broadly
✓ Use IAM properly; SCPs for org guardrails; audit with Access Analyzer
```

## 网络和数据保护

```text
NETWORK → VPC isolation; private subnets for backends; security groups (least access);
  don't expose resources publicly unnecessarily (databases in private subnets!)
DATA → ENCRYPT at rest (S3, EBS, RDS — often a checkbox) and in transit (TLS);
  manage keys (KMS); ⚠️ avoid public S3 buckets (a top cause of breaches);
  classify and protect sensitive data; manage secrets (Secrets Manager, not in code)
```

## 检测和监测

```text
✓ CloudTrail → log ALL API activity (audit trail — who did what)
✓ GuardDuty → threat detection; Config → compliance/configuration auditing
✓ Security Hub → centralized security posture; CloudWatch alarms on suspicious activity
✓ Detect and respond to incidents; review regularly
```

## 为什么这很重要

理解 AWS 安全最佳实践是高级水平的知识，因为安全是一项基础性的、高风险的问题，云具有特定的安全考量，因此对于负责任地运营 AWS 至关重要。

理解 **共享责任模型** 是基础：AWS 保护底层基础设施，但 **您负责保护您的数据、访问、网络配置和应用程序** ——关键洞察是 **大多数安全漏洞源于客户配置错误**（如公开 S3 bucket 或权限过于宽泛），而非 AWS 基础设施故障，因此了解您的责任至关重要。

每个安全层都很重要：**身份和访问**（特别是 **最小权限原则** ——最重要的 IAM 原则——使用角色而非长期密钥、保护根账户、强制实施 MFA）可防止导致许多漏洞的访问控制故障；**网络安全**（VPC 隔离、后端服务（如数据库）的私有子网、最小访问安全组、不公开暴露资源）在网络层保护系统；**数据保护**（静态和传输中的加密、密钥管理、避免公开 S3 bucket、正确的 secrets 管理）保护敏感数据；**检测和监测**（用于审计日志的 CloudTrail、用于威胁检测的 GuardDuty、用于合规的 Config、Security Hub）使检测和响应威胁成为可能。

理解这些分层实践——以及安全是一项持续的规范，解决常见的真实故障（配置错误、权限过多、公开暴露、未加密数据）——反映了生产 AWS 所需的全面安全思维。

由于 AWS 安全风险高（漏洞成本大且常见，大多源于客户配置错误）、需要跨身份、网络、数据和检测的多层防御、理解共享责任模型和最佳实践对于保护 AWS 系统至关重要，因此理解 AWS 安全最佳实践是负责任运营 AWS 的高级水平关键知识——是一个高优先级领域，其中理解这些实践（特别是最小权限、避免公开暴露、加密和监测）直接防止导致漏洞的真实常见安全故障，反映了高级云角色所需的安全责任。