# 责任共担
<a name="shared-responsibility"></a>

安全性和合规性是 AWS 与客户共同承担的责任。这种共担模式可以减轻客户的运营负担，因为 AWS 会运营、管理和控制从主机操作系统和虚拟化层组件，一直到服务运营所在物理设施的安全性。客户负责管理来宾操作系统（包括更新和安全补丁）、其他关联应用程序软件以及 AWS 提供的安全组防火墙的配置。客户应慎重选择服务，因为他们所承担的责任因他们使用的服务、服务与其 IT 环境的集成以及适用法律法规而各异。这种责任共担的性质还赋予了客户足够的灵活性和控制能力来进行部署。如下图所示，责任的这种区分通常称为云“本身的”安全性与云“中的”安全性。

**AWS“云的安全性”责任** – AWS 负责保护运行 AWS 云中提供的所有服务的基础设施。该基础设施由运行 AWS 云服务的硬件、软件、网络和设施组成。

**客户“云中的安全性”责任** – 客户责任将由客户选择的 AWS 云服务确定。这决定了客户必须执行的作为其安全责任一部分的配置工作量。例如，Amazon Elastic Compute Cloud（Amazon EC2）等服务被归类为基础设施即服务（IaaS），因此，这需要客户执行所有必要的安全配置和管理任务。部署 Amazon EC2 实例的客户负责管理来宾操作系统（包括更新和安全补丁）、客户在实例上安装的任何应用程序软件或实用程序，以及每个实例上由 AWS 提供的防火墙（称为安全组）的配置。对于抽象服务（例如 Amazon S3 和 Amazon DynamoDB），AWS 会运营基础设施层、操作系统和平台，而客户访问端点即可存储和检索数据。客户负责管理他们的数据（包括加密选项）、对其资产进行分类以及使用 IAM 工具应用适当的权限。

![\[Shared responsibility model diagram showing customer and AWS security roles in cloud services.\]](http://docs.aws.amazon.com/zh_cn/wellarchitected/latest/security-pillar/images/aws-shared-responsibility.png)


*图 1：AWS 责任共担模式*

此客户/AWS 责任共担模式还扩展到 IT 控制措施方面。正如 AWS 与客户共同行使控制 IT 环境的责任一样，管理、运营和验证 IT 控制措施的责任也是由双方共同承担。AWS 负责管理与部署在 AWS 环境中的物理基础设施相关的控制措施（此管理工作此前可能由客户承担），从而帮助客户缓解操作控制措施的负担。因为每个客户在 AWS 中的部署均不相同，所以客户可以藉此将管理特定 IT 控制措施的责任移交到 AWS，从而形成一个新型分布式控制环境。然后客户可以使用 AWS 控制和合规性文档来根据需要执行控制评估与验证程序。以下是由 AWS 和/或 AWS 客户管理的控制措施示例。

**继承的控制措施**– 客户完全从 AWS 继承的控制措施。
+ 物理和环境控制措施

**共享的控制措施** – 应用于基础设施层和客户层的控制措施，但在单独的上下文中或从单独的视角应用。在共享的控制措施中，AWS 提供了对基础设施的要求，客户必须对其使用 AWS 服务实施自己的控制措施。示例包括：
+ 补丁管理 – AWS 负责修补和修复基础设施中的缺陷，而客户负责修补他们的来宾操作系统和应用程序。
+ 配置管理 – AWS 维护其基础设施设备的配置，而客户负责配置他们自己的来宾操作系统、数据库和应用程序。
+ 意识与培训 – AWS 培训 AWS 的员工，而客户必须对自己的员工进行培训。

**客户特定** – 完全由客户负责的控制措施，基于客户在 AWS 服务中部署的应用程序。示例包括：
+ 服务和通信保护或区安全，这可能需要客户在特定的安全环境中路由数据或将数据分区。