Referência
Matriz de responsabilidade por tipo de serviço
Infraestrutura, containers e serviços abstratos: quem cuida de cada camada.
Material complementar · Módulo 1 — Os alicerces
Como ler a matriz
A tabela mostra, camada por camada, quem é responsável em três tipos de serviço: infraestrutura (Amazon EC2), containers/plataforma (Amazon RDS) e serviços abstratos (Amazon S3, AWS Lambda, Amazon DynamoDB). As legendas:
- AWS: a AWS opera; você herda o controle.
- Cliente: é seu, por inteiro.
- Compartilhado: a AWS faz uma parte e você faz outra (a nota explica qual).
Matriz camada × tipo de serviço
| Camada | EC2 | RDS | S3 · Lambda · DynamoDB |
|---|---|---|---|
| Instalações físicas e ambientais | AWS | AWS | AWS |
| Hardware, rede física, virtualização, SO do host | AWS | AWS | AWS |
| Sistema operacional da instância | Cliente | Compartilhado ¹ | AWS |
| Plataforma (motor de banco, runtime) | Cliente | Compartilhado ¹ | AWS / Compartilhado ² |
| Código da aplicação e dependências | Cliente | Cliente | Cliente |
| Rede: VPC, security groups, exposição pública | Cliente | Cliente | Cliente ³ |
| Identidades e permissões (IAM, políticas de recurso) | Cliente | Cliente | Cliente |
| Usuários e configuração internos do serviço | Cliente | Cliente (usuários do banco, parâmetros) | Cliente (políticas de bucket, configuração da função ou tabela) |
| Criptografia: escolha de chave e quem pode usá-la | Cliente | Cliente | Cliente ⁴ |
| Classificação dos dados | Cliente | Cliente | Cliente |
| Backup e retenção (configuração) | Cliente | Cliente ⁵ | Cliente ⁵ |
| Logging e monitoramento (ativar e analisar) | Cliente | Cliente | Cliente |
| Treinamento e conscientização | Compartilhado | Compartilhado | Compartilhado |
Notas
- RDS (serviço gerenciado single-tenant): a AWS identifica vulnerabilidades, desenvolve, valida e publica patches de SO e de versão do motor, e notifica. Você revisa e viabiliza a aplicação: janela de manutenção, aplicar o update ou agendar o restart no prazo informado.
- Lambda: com runtime gerenciado no modo Auto, a AWS publica e aplica as atualizações do runtime. Nos modos Function update e Manual, ou com imagens de container, aplicar a atualização (atualizar a função ou reconstruir a imagem) é sua tarefa. S3 e DynamoDB (multi-tenant): a AWS aplica os patches sem ação sua.
- S3 e DynamoDB não rodam dentro da sua VPC: o controle de exposição é feito por políticas IAM e de recurso, S3 Block Public Access e VPC endpoints. Uma função Lambda pode ser conectada a uma VPC; nesse caso, sub-redes e security groups também são seus.
- O S3 criptografa novos objetos com SSE-S3 por padrão, e o DynamoDB criptografa todos os dados em repouso. Escolher entre chave da AWS e chave gerenciada pelo cliente no AWS KMS, e definir quem pode usá-la, continua sendo decisão sua.
- O serviço oferece o mecanismo (backups automatizados no RDS, versionamento e replicação no S3, point-in-time recovery no DynamoDB); ativar, configurar retenção e testar a restauração é com você.
Exemplos rápidos
| Situação | De quem é |
|---|---|
| Vulnerabilidade no kernel Linux de uma instância EC2 | Cliente (patch do SO convidado) |
| Nova versão menor do PostgreSQL no RDS com correção de segurança | Compartilhado: AWS publica, cliente agenda e aplica |
| Bucket S3 público por causa de uma política de bucket | Cliente |
| Biblioteca vulnerável empacotada numa função Lambda | Cliente |
| Falha de energia num data center | AWS (resiliência da sua arquitetura entre zonas de disponibilidade é sua) |
| Usuário de banco com senha fraca no RDS | Cliente |