共享责任模型(SRM)是云服务提供商(CSP)与其服务的最终用户之间的一种理解. 该协议规定，云计算服务提供商(CSP)将负责保护其云计算运营的平台基础设施，而最终用户则负责保护在云计算平台上运行的工作负载.
的确, Gartner下划线 csp的客户需要彻底理解协议, csp不能提供完整的安全性，安全领导者必须了解他们在云中的安全责任范围. 对于正在将全部或部分工作负载迁移到云的组织来说尤其如此.
因此, 对于构建云的架构师来说，考虑到他们想要操作的环境的特定安全含义是最理想的. 这将帮助所有利益相关者更全面地了解业务迁移到云计算所承担的风险和责任. 缺乏对SRM概念的理解，因为它涉及到一个特定的组织和他们的云计算服务提供商，可能会导致误解，认为云计算服务提供商负责某一区域的安全——这可能会导致错误配置和/或不正确地保护云资产.
了解您在SRM中的角色可以帮助您维护您在CSP方面的责任以及实施和执行 云安全 最佳实践，如定期漏洞扫描.
让我们看一下一些顶级csp是如何为其环境定义srm的. 毕竟, 这些信息将是找到最适合您组织独特需求的供应商的关键.
这种模式表明，AWS负责云的安全，而客户负责云中的安全. 虽然AWS致力于保证其基础设施的安全，但客户负责IT控制，例如 加密 和 身份和访问管理(IAM)、修补客户操作系统、配置数据库以及员工网络安全培训.
该模型表明，在本地数据中心中，客户拥有整个堆栈. 随着客户迁移到云，一些责任转移到微软. 这些职责将根据栈部署的类型而有所不同.
对于所有的云部署类型，客户拥有自己的数据和身份. 他们有责任保护这些数据和身份的安全, 本地资源, 以及它们控制的云组件. 无论部署类型如何, 客户将始终保留以下数据, 端点, 账户, 以及访问管理职责.
该模型表明，需要深入了解客户使用的每项服务, 以及每个服务提供的配置选项，以及谷歌云如何保护服务. 每个服务都有不同的配置文件, 而且很难确定最佳的安全配置.
客户是了解其业务的安全和法规需求以及保护机密数据和资源的需求方面的专家. GCP 还引入了“共命运”的概念,，这使得客户实质上购买了将责任传递给GCP的权利.
现在，让我们看看SRM是如何基于 云模式的类型 商业运作的基础. 在下面的每个标题下列出了CSP负责的组件和客户负责的组件.
要记住的是，当我们从上到下移动每个区域时, CSP管理着越来越多的组件. 因此, 客户获得了越来越多的便利和安心, 但定制能力较差.
CSP负责:
客户负责:
CSP负责:
客户负责:
CSP负责:
客户负责:
在完全定制的本地基础设施中，用户可以, 当然, 负责上面列出的所有方面.
对SRM通常包含的内容进行更技术性的总结, 许多专家会说，客户要对他们在云环境中可以更改/添加/删除/重新配置的任何东西负责. 如果他们没有能力修改某些东西, 云计算运营的这方面的监督责任很可能落在云计算服务提供商(CSP)身上.
然而，如上所述，可能存在重叠的领域. 这些灰色地带也被称为共享控制区, 并且需要csp和他们的客户都知道，以便尽可能顺利地运行. 例如，就AWS而言，共享控制区域将包括以下方面 补丁管理、配置管理 基础设施即代码(IaC), 安全意识培训. 为什么这些区域是共享的?
具体地说, AWS将负责修补和修复其基础设施中的缺陷, 而客户则负责修补其客户操作系统和应用程序. 类似的, AWS维护其基础设施的配置, 但是客户要负责配置自己的操作系统, 数据库, 和应用程序.
最后, AWS及其云客户都有责任为各自的员工组织提供安全意识培训. 这些共享控制区域只有助于加强csp及其客户保护他们单独负责的区域的能力.
SRM的好处是按照下面的好处来定义的 迁移到云 能产生. 作为一个客户，你是在与一个合作伙伴打交道——只是要确保这个合作伙伴是你可以信任的.
最佳实践显然取决于您的组织的独特需求. 因此，让我们看一下可靠SRM的一些更通用的最佳实践.