Pour les requêtes reçues par Amazon API Gateway, qui est responsable de la mise en œuvre des paramètres de sécurité tels que l'authentification (validation des clés d'API, authentification IAM, etc.) et la limitation de débit (protection contre les attaques DDoS) ?
Dans le modèle de responsabilité partagée, déterminer qui est responsable des paramètres de sécurité d'un service géré (API Gateway).
AWS est responsable.
AWS est responsable de l'infrastructure sous-jacente, de la disponibilité et de la durabilité du service géré API Gateway (security OF the cloud).
Cependant, le choix de la méthode d'authentification ou de la limitation de débit dépend des exigences applicatives du client. La configuration elle-même relève de la responsabilité du client, donc cette réponse est incorrecte.
Contrôles partagés
Les contrôles partagés sont des domaines où les deux parties interviennent à différentes couches, comme la gestion des correctifs.
Le contenu de la configuration de sécurité d'API Gateway est entièrement déterminé et mis en œuvre par le client, donc ce n'est pas partagé. Cette réponse est incorrecte.
Le service est sécurisé par défaut, aucune configuration supplémentaire par le client n'est requise.
API Gateway n'active PAS automatiquement l'authentification ni la limitation de débit lors de sa création.
Les clients doivent explicitement configurer la méthode d'authentification et la limitation en fonction des exigences de leur application. L'hypothèse qu'aucune configuration n'est requise est incorrecte.
Le client est responsable.
Correct. Bien qu'API Gateway soit un service géré, la méthode d'authentification (clé d'API, IAM, Cognito, etc.) et la limitation de débit à utiliser sont déterminées et mises en œuvre par le client en fonction des exigences de son application. Cela relève du périmètre de configuration du client (security IN the cloud). AWS garantit uniquement la disponibilité de l'infrastructure sous-jacente.
Même pour les services gérés, « la configuration » est la responsabilité du client. AWS garantit l'infrastructure et la disponibilité, mais ce qu'il faut configurer et comment (authentification, chiffrement, contrôle d'accès) est décidé par le client. Ce principe est un sujet fréquent à l'examen.