隨著越來越高的容量和種類繁多的云服務的推出，亞馬遜的 AWS（Amazon Web Services）已經成為許多企業和機構的最流行選擇，幫助企業在云計算提供的可擴展性和經濟存儲之間找到平衡。

AWS 的安全性建立在共享責任模型基礎之上：亞馬遜提供基礎設施并保證其安全，用戶則負責維護自己運行其上的應用的安全。這一模型可使用戶獲得對自身流量和數據的更大操控性，鼓勵用戶更加積極主動。然而，在邁向應用遷移進程之前，最好先看看以下幾條小建議，可以有助于用戶在 AWS 和內部環境中掌控安全，獲得最大限度的保護。

理解安全組概念

亞馬遜提供虛擬防火墻功能過濾你云網段上流過的數據流量；但 AWS 防火墻的管理方式與傳統防火墻的略有不同。AWS 防火墻的中心組件是‘安全組（security group）’，基本上相當于其他防火墻廠商所說的策略，也就是規則集合。不過，安全組和傳統防火墻策略有著關鍵區別，這一點需要充分認識到。

首先，AWS 規則中沒有流量被允許或放棄的‘動作’。這是因為 AWS 的所有規則都是積極的，總是允許指定流量通過——不像傳統防火墻規則。

其次，AWS 規則允許你指定流量源或目的地址——二者規則不同。對入站規則而言，要有源地址聲明流量從何而來，但無需目的地址告訴它往哪兒去。出站規則正好相反：你可以指定目的地址而不是源地址。這么規定的原因是 AWS 安全組總是會為應用的實例自動設定未指定端（源或目的地址，視具體情況而定）。

在應用規則上 AWS 會賦予你很高的靈活性。一個安全組可以應用到多個實例，就像你可以將一個傳統安全策略應用到多個防火墻一樣。AWS 還允許你反著來：將多個安全組應用到同一個實例上，意味著這一實例從所有它關聯的安全組繼承規則。這是亞馬遜提供的眾多特性之一，允許你為特定功能或操作系統創建安全組，然后將它們混合搭配以適應業務需求。

管理出站流量

AWS 當然會管理出站流量，但管理方式上與常規方法有些不太一樣，你得留意。初始設置過程中，AWS 的用戶是不會被自動引導進行出站流量設置的。默認設置所有出站流量都被允許，這一點與入站流量默認設置正好相反，入站流量默認是除非創建規則否則全部拒絕。

很明顯，這是個可能導致公司數據丟失的不安全設定，因此，建議創建只允許指定出站流量的規則，保護真正關鍵的數據。由于 AWS 設置向導不會自動引導進行出站設置，你得手動創建并應用這些規則。

審計與合規

一旦你開始在產品中使用 AWS，你得記住：這些應用現在可就處于合規和內部審計的眼皮子底下了。亞馬遜確實提供一些內置功能輔助合規和審計：亞馬遜云監測（Amazon CloudWatch），類似實例健康監測儀和日志服務器；以及亞馬遜云軌跡（Amazon CloudTrail），記錄和審計你的API調用情況。但是，如果你用的是混合數據中心環境，你還需要額外的合規和審計工具。

根據你所處產業和你處理的數據類型，你的業務將受到不同的監管。比如，如果你處理的是信用卡信息，你就要受支付卡行業（PCI）監管。因此，如果你想用 AWS 云平臺處理這些敏感數據，你就需要合適的第三方安全管理產品為你提供與常規防火墻相同的報告功能。

你需要從第三方解決方案中獲得的最重要的東西，是對所有安全組和整個混合資產的可見性，還有類似本地基礎設施能提供的對你安全環境進行全面審視和管理的分析及審計能力。

放到 AWS 環境中的所有東西的安全性都是自己的責任。充分考慮到以上幾點，在你遷移到 AWS 時會對你保護數據和符合監管的要求提供幫助。