Uma empresa hospeda uma aplicação web em uma instância do Amazon EC2. A empresa instala seu próprio software de aplicação e configura o sistema operacional. A empresa também usa o AWS Key Management Service (AWS KMS) para criar uma chave gerenciada pelo cliente para criptografar dados no volume do Amazon Elastic Block Store (Amazon EBS) anexado à instância. De acordo com o modelo de responsabilidade compartilhada da AWS, qual das seguintes alternativas é de responsabilidade da AWS?
Escolha a melhor resposta.
Resposta correta
Sob o modelo de responsabilidade compartilhada da AWS, a AWS é responsável pela segurança da nuvem, o que inclui a segurança física dos data centers, hardware, rede e instalações onde as instâncias do EC2 são executadas. Esta é uma camada fundamental que os clientes não podem gerenciar ou controlar.
Criptografar os dados no volume do Amazon EBS usando a chave gerenciada pelo cliente.
Esta é uma responsabilidade do cliente. O cliente cria e gerencia a chave do KMS e deve configurar o volume do EBS para usar essa chave para criptografia. A AWS fornece a infraestrutura para criptografia, mas o cliente controla a chave e as configurações de criptografia.
Aplicar patches no sistema operacional da instância do Amazon EC2.
A aplicação de patches no sistema operacional convidado pertence ao cliente sob o modelo de responsabilidade compartilhada, uma vez que a empresa configura o SO e instala seu próprio software. A AWS aplica patches no hypervisor e na infraestrutura de serviços gerenciados. Isso é tentador porque a AWS aplica patches no SO de serviços totalmente gerenciados, como o RDS, onde esta seria a resposta correta.
Garantir a segurança física do data center onde a instância do Amazon EC2 é executada.
A segurança física de data centers, hardware e da infraestrutura global subjacente é sempre responsabilidade da AWS sob o modelo de responsabilidade compartilhada. O cliente mantém a responsabilidade pelo sistema operacional convidado, software de aplicação e configuração da chave do KMS gerenciada pelo cliente, portanto, apenas a instalação em si cabe à AWS.
Configurar as regras de security group para restringir o tráfego para a instância do Amazon EC2.
Os security groups são regras de firewall configuradas pelo cliente anexadas à instância do EC2 do cliente, portanto, restringir o tráfego delas fica com o cliente, e não com a AWS. É tentador porque a AWS fornece o mecanismo de security group e gerencia a rede subjacente, e estaria correto se a pergunta perguntasse quais controles a AWS fornece como infraestrutura.
O modelo de responsabilidade compartilhada delimita a responsabilidade da AWS pela infraestrutura física (por exemplo, energia, refrigeração, cabeamento de rede, hardware do servidor) da responsabilidade do cliente pelo SO convidado, aplicações e configurações de security groups. Para a criptografia do EBS, o cliente gerencia a política de chaves e concessões do KMS, enquanto a AWS lida com a criptografia subjacente em repouso usando a chave fornecida; no entanto, o ato de criptografar os dados (ou seja, aplicar a chave ao volume) é iniciado pelo cliente por meio da API ou console da AWS. Na prática, se um cliente falhar em aplicar patches no SO, a AWS não intervirá, pois isso violaria o controle administrativo do cliente.
Sobre estas questões de prática
Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.
Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.