AWS 责任共担模型（Shared Responsibility Model）是 AWS 安全性的基石，它明确划分了AWS（云服务商）和客户（使用者）在安全与合规方面的各自职责。核心原则是：AWS 负责“云的安全”，客户负责“云中的安全”。

为了帮你快速厘清边界，可以记住一条黄金分界线：虚拟化层（Hypervisor）。

• 分界线以下（硬件、固件、物理设施）：AWS 负责。

• 分界线以上（操作系统、应用程序、数据）：客户负责。

具体细分如下：

1. AWS 的职责（Security OF the Cloud）

AWS 负责保护运行所有云服务的基础设施。这部分客户无需任何操作，且“开箱即用”：

• 物理安全：全球数据中心的门禁、监控、供电、制冷。

• 硬件生命周期：服务器、存储设备、网络交换机的维护和报废销毁。

• 虚拟化基础设施：管理程序（Hypervisor）、底层操作系统内核、虚拟网络交换机的安全补丁和漏洞修复。

2. 客户的职责（Security IN the Cloud）

这一部分完全由客户控制，配置错误是云上安全事故的首要原因。根据使用的服务类型，客户职责有所不同：

• 数据安全（永远属于客户）：客户全权负责其存储内容的加密（服务端/客户端加密）和数据分类。

• 访问管理（IAM）：管理用户、组、角色的权限策略（谁能访问什么资源）。

• 操作系统与网络：

  • 对于 EC2（虚拟机）：客户负责操作系统内核、中间件、应用程序的补丁更新，以及 VPC 内的防火墙（安全组/网络 ACL）规则配置。

  • 对于 S3（对象存储）：客户负责存储桶的公开访问权限设置（是否允许公网读取）。

• 账号安全：开启多因素认证（MFA）、轮换访问密钥（AK/SK）。

3. 不同服务模式下的责任转移（关键区别）

并不是所有服务的责任划分都一成不变，它取决于你使用的是“容器”还是“托管的全服务”：

• IaaS（如 EC2 裸机/虚拟机）：客户责任最重。相当于租了毛坯房，水电（虚拟化）AWS管，但装修、软装、防盗门（OS、应用、防火墙）全得自己管。

• PaaS（如 RDS 托管数据库、ElastiCache）：AWS 分担部分责任。相当于租了精装房。AWS 负责底层操作系统和数据库引擎的补丁维护，客户只需负责数据内容、备份配置和访问白名单。

• SaaS（如 Lambda、DynamoDB、S3）：AWS 责任最重。客户无需关心服务器和运行环境，只需专注于自身的数据权限和访问策略（比如谁有权调用这个函数）。

一句话总结

AWS 确保“机房不塌、网络不断、虚拟化不死”；客户必须确保“密码不丢、补丁不漏、权限不乱”。 两者共同承担安全责任，但任何一方失守，都会导致系统整体不安全（例如 AWS 基础设施没问题，但客户不小心把 S3 存储桶设为“公共读”导致数据泄露，责任完全在客户）。