Mô hình trách nhiệm chung

Mô hình trách nhiệm chung là gì?#

Mô hình trách nhiệm chung Shared Responsibility Model là khái niệm nền tảng và bị hỏi rất nhiều trong kỳ thi CLF-C02. Nó trả lời câu hỏi: "Khi tôi chạy ứng dụng trên AWS, ai chịu trách nhiệm về phần nào của bảo mật?".

Câu trả lời được AWS tóm gọn trong hai cụm từ:

• AWS chịu trách nhiệm bảo mật OF the cloud (bảo mật của đám mây): tức là bảo vệ chính hạ tầng vận hành mọi dịch vụ AWS.
• Khách hàng chịu trách nhiệm bảo mật IN the cloud (bảo mật trong đám mây): tức là bảo vệ những gì khách hàng đặt lên và cấu hình bên trong đám mây.

AWS chịu trách nhiệm những gì? (Security OF the cloud)#

AWS quản lý và bảo vệ toàn bộ tầng hạ tầng mà khách hàng không bao giờ chạm tới:

• Bảo mật vật lý: trung tâm dữ liệu (data center), kiểm soát ra vào, camera, bảo vệ, nguồn điện, làm mát.
• Phần cứng: máy chủ vật lý, thiết bị lưu trữ, thiết bị mạng.
• Lớp ảo hóa: phần mềm ảo hóa hypervisor cách ly máy ảo của các khách hàng khác nhau.
• Hạ tầng mạng toàn cầu: các Vùng Regions, Vùng sẵn sàng Availability Zones, đường truyền backbone.
• Phần mềm nền của các dịch vụ được quản lý (managed services).

Khách hàng chịu trách nhiệm những gì? (Security IN the cloud)#

Khách hàng chịu trách nhiệm cho mọi thứ họ đưa lên và bật/tắt:

• Dữ liệu của khách hàng — đây luôn luôn là trách nhiệm của khách hàng.
• Quản lý danh tính và quyền truy cập qua IAM IAM: tạo người dùng, vai trò, policy, bật MFA.
• Cấu hình bảo mật: nhóm bảo mật Security Groups, danh sách kiểm soát truy cập mạng network ACLs, cấu hình firewall.
• Mã hóa: bật mã hóa khi lưu trữ (at rest) và khi truyền (in transit), quản lý khóa.
• Vá lỗi hệ điều hành khách (guest OS) và ứng dụng — khi dùng dịch vụ như EC2.
• Phân loại dữ liệu và tuân thủ chính sách nội bộ.

Ranh giới dịch chuyển theo mô hình dịch vụ#

Điểm quan trọng nhất: trách nhiệm của khách hàng giảm dần khi chuyển từ IaaS sang PaaS rồi SaaS, vì AWS quản lý ngày càng nhiều hơn.

Hạng mục	IaaS (vd: EC2)	PaaS (vd: RDS, Lambda)	SaaS (vd: Amazon Connect)
Vá hệ điều hành khách	Khách hàng	AWS	AWS
Vá phần mềm cơ sở dữ liệu	Khách hàng	AWS	AWS
Cấu hình mạng/firewall	Khách hàng	Khách hàng (một phần)	AWS (chủ yếu)
Quản lý IAM & quyền truy cập	Khách hàng	Khách hàng	Khách hàng
Mã hóa & phân loại dữ liệu	Khách hàng	Khách hàng	Khách hàng
Dữ liệu của khách hàng	Khách hàng	Khách hàng	Khách hàng

Ví dụ cụ thể#

Hãy xét vài tình huống điển hình trong đề thi:

• Vá lỗ hổng bảo mật trong hệ điều hành của một EC2 instance → Khách hàng (vì EC2 là IaaS, khách quản lý guest OS).
• Vá lỗ hổng trong phần cứng máy chủ vật lý → AWS.
• Một nhân viên vô tình để S3 bucket công khai → Khách hàng (cấu hình truy cập là của khách).
• Áp dụng bản vá cho engine của Amazon RDS → AWS (RDS là dịch vụ được quản lý).
• Mất khóa truy cập (access key) bị lộ trên GitHub → Khách hàng (quản lý thông tin xác thực).
• Bảo vệ ra vào trung tâm dữ liệu → AWS (bảo mật vật lý).
• Mã hóa dữ liệu nhạy cảm trong DynamoDB → Khách hàng quyết định bật và cấu hình.

Vì sao điều này quan trọng#

Hiểu sai mô hình trách nhiệm chung là nguyên nhân hàng đầu gây ra sự cố bảo mật trên đám mây (ví dụ S3 bucket bị rò rỉ dữ liệu). AWS cung cấp công cụ và hạ tầng an toàn, nhưng nếu khách hàng cấu hình sai quyền hay không bật mã hóa, AWS không thể chịu trách nhiệm thay. Nắm vững ranh giới này giúp bạn vừa qua bài thi vừa vận hành an toàn trong thực tế.

Tóm tắt#

• AWS = bảo mật OF the cloud: cơ sở vật chất, phần cứng, ảo hóa, hạ tầng toàn cầu.
• Khách hàng = bảo mật IN the cloud: dữ liệu, IAM, cấu hình, mã hóa, vá guest OS.
• Trách nhiệm của khách hàng giảm khi đi từ IaaS → PaaS → SaaS.
• Dữ liệu, IAM và phân loại dữ liệu luôn thuộc về khách hàng ở mọi mô hình.
• Khi phân vân: phần cứng/hạ tầng vật lý là của AWS; cấu hình/dữ liệu/quyền là của khách hàng.