云计算供应商的安全指南：值得花费时间吗？

作者：Harris编译 2023-07-10 06:31:43

云计算

云原生 使云安全架构的第二次迭代变得完美是小菜一碟。真正的挑战是有一个充分的第一次迭代。如果前者一般，工程师将不得不花费数周时间重新调整配置，或者从头开始实施。更糟糕的是，企业最初的云安全态势可能比来自Emmental地区的瑞士奶酪有更多的漏洞。

      本文详细分析了AWS、Azure和Googlecloud提供的云安全指南和资源，并确定了它们对新手和经验丰富的架构师的价值。

　　使云安全架构的第二次迭代变得完美是小菜一碟。真正的挑战是有一个充分的第一次迭代。如果前者一般，工程师将不得不花费数周时间重新调整配置，或者从头开始实施。更糟糕的是，企业最初的云安全态势可能比来自Emmental地区的瑞士奶酪有更多的漏洞。

　　云供应商提供了数以千计的文章、教程和网页来解释云安全的每一个细节。但对于第一个设计来说，最重要的是指导安全架构师系统地开发一个保护云资产的“大设计”。而且该方法必须对经验丰富的架构师和第一次使用特定云的架构师都有帮助。

　　那么，AWS的良好架构框架、谷歌云安全基金会指南和各种微软Azure框架有多大价值呢?让我们详细分析一下这些流行厂商的安全指南产品。

　　谷歌云安全基金会指南

　　Google的130页GCP安全基础指南介绍了Google的GCP安全理念、原则和一个示例GCP环境，作为贯穿文档中心部分的示例。它详细阐述了八个与安全相关的主题，从网络和身份和访问管理(IAM)到计费和应用程序安全(子章节II.5-II)。12，参见图1)。所有这些子章节的核心是体系结构蓝图和安全体系结构模式。

　　它对谁最有利?

　　可视化了文档样式:一个大的架构图、解释文本和一个包含确切配置设置细节的表。座右铭是:“展示蓝图并解释它。”因此，刚接触GCP的安全架构师或第一次处理这些安全主题之一的安全架构师可以从初始的架构良好的设计模式中受益，他们可以根据具体的公司环境修改和定制该模式。

　　AWS架构良好的框架

　　亚马逊早在2015年就推出了AWS良好架构框架。它最初由五个支柱组成，但现在有六个支柱:卓越运营、安全性、可靠性、性能效率、成本优化和可持续性。近年来，AWS用技术和特定行业的视角补充了这些支柱。

　　安全支柱的AWS框架文档有155页，详细介绍了66个安全主题。它们描述了七个方面的需求:安全基础、身份和访问管理、检测、基础设施保护、数据保护、事件响应和应用程序安全。其结构可能与GCP不同。然而，主要的区别在于AWS呈现主题的方法。

　　GCP将架构蓝图放在解释的中心，而AWS提供了一个架构良好的框架，却没有(几乎)任何图表。AWS遵循非常严格的结构，如图4所示。对于所有主题都是一样的:期望的结果和反模式(即，通常观察到的不良设计)，然后是简短的风险声明，解释没有充分处理特定主题的后果。接下来是包含任务和步骤的实现指南。主题描述的最后提供了其他文章的链接，这些文章提供了更多的见解，并突出了其他密切相关的AWS框架主题。

　　它对谁最有利?

　　那么，AWS框架对谁有帮助呢?显然，它是每个项目经理最好的朋友。它列出了安全架构师必须交付和工程师必须实现的设计。然而，架构师不应该期望任何设计或模式可以帮助他们设计解决方案，尽管框架包含指向后一种目的的潜在有用信息的链接。

　　Azure安全文档

　　Azure不是只有一个，而是有几个相互竞争和重叠的框架和方法。特别是，有架构良好的框架、架构中心和Azure安全基础文档。如图5所示，后者有两个部分侧重于核心安全体系结构主题:保护云解决方案和保护Azure资源。这两个部分都链接到多个网页。在云安全最佳实践的情况下，它们涵盖了从网络到PaaS安全的各种安全领域。每个页面都介绍了子主题，通常用一句话概括了最佳实践——“不要分配范围太广的允许规则”或“启用SSO”——然后是进一步的简短解释。但是Azure安全基础文档如何帮助安全架构师构建他们的工作和设计安全架构呢?

　　它对谁最有利?

　　文档对基本主题提供了出色的解释，并激励读者点击链接阅读其他文章，帮助他们加深对安全主题的总体理解。然而，你不能通过阅读所有相关的大英百科全书文章有效地学习土木工程。类似地，新手Azure安全架构师学习概念，但在浏览此文档时不会学习方法或获得结结性任务列表。也没有架构图来解释各种Azure云组件和安全服务之间的相互作用。

　　同样值得一提的是微软的架构蓝图集合(Azure架构)，其中许多涉及与安全相关的主题(例如，“使用Azure网络安全的安全MLOps解决方案”)。同样，它们写得很好，内容丰富。它们帮助建筑师和工程师了解特定甚至非常小众主题的最佳实践设计。然而，蓝图的展示并不是一个系统的介绍，它将帮助安全架构师建立一个初始的IaaS或PaaS数据中心。

　　然后是Azure架构良好的框架。它有五个支柱，一个致力于安全。安全支柱涵盖五个方面——身份管理、保护基础设施、应用程序安全性、数据主权和加密以及安全资源(图6)。与AWS不同，Azure框架不提供结构化的需求列表。相反，它简要地解释了概念和附加资源的链接——对于安全工程师、项目经理或架构师来说都不是直接可操作的。

　　结语

　　Azure为所有与安全相关和非安全相关的特性提供了许多学习资源和文档，但安全架构师的学习曲线很高。架构师必须自构建安全领域，并考虑如何在其总体设计中处理各种主题。相比之下，GCP的安全基础指南提供了基本的现成架构蓝图，解决了关键安全领域的各种云安全特性和组件的相互作用。最后，还有AWS架构良好的框架:普鲁士式的冷静、缺乏幽默感、一针见血和过度结构化。它提供了一个清晰的概述和要做的事情列表。它甚至可以作为其他云的初始工作包定义的输入进行重用。