Cos'è un Cloud Esempio?

A cloud un'istanza è un ambiente di elaborazione on-demand, in genere una macchina virtuale o un contenitore, fornito da un cloud risorse condivise del fornitore.

A cloud l'istanza è un ambiente di elaborazione logicamente isolato, il più delle volte un macchina virtuale e, in alcune piattaforme, un contenitore o unikernel, creato su richiesta dal pool di risorse di un provider. È prodotto da un'immagine o un modello che definisce sistema operativo e software di base, quindi personalizzati a stivale con i dati dell'utente e metadati servizi. Sotto il cofano, un hypervisor o contenitore runtime multiplex CPU, memoria e I / O su molti inquilini, imponendo al contempo l'isolamento. Acceleratori opzionali come GPU oppure è possibile collegare DPU per carichi di lavoro specializzati.

Ogni istanza è vincolata alla rete virtuale (VPC/subnet, gruppi di sicurezza, bilanciatori di carico, pubblico/privato IPs) e conservazione che può essere effimero (NVMe locale) o persistente (volumi a blocchi, file system di rete, gateway di oggetti). Le operazioni del ciclo di vita, come creazione, avvio/arresto, ibernazione, snapshot, ridimensionamento, migrazione e terminazione, sono esposte tramite API e console, con orchestrazione gestita da gruppi di ridimensionamento automatico, gruppi di istanze gestite o kubernetes pianificatori.

Gestione dell'identità e degli accessi le policy regolano chi può avviare, modificare o connettersi all'istanza; la telemetria visualizza registri, metriche e tracce; e le immagini/istantanee consentono la riproducibilità e disaster recovery.

I prezzi riflettono in genere le risorse e il tempo assegnati (al secondo/minuto), con modelli che includono on-demand, utilizzo riservato/impegnato e capacità spot/preemptible.

Paragonato a metallo nudo servers, cloud le istanze scambiano alcune prestazioni grezze per una rapida elasticità, posizionamento globale e scarico operativo, rendendole l'unità di calcolo standard per la maggior parte cloud-nativo e ibrido architetture.

Come funziona un file Cloud Istanza di lavoro?

A cloud L'istanza viene creata su richiesta e collegata a elaborazione, storage e rete in modo da poter eseguire il carico di lavoro in modo affidabile e sicuro. Ecco come funziona esattamente:

Richiesta e selezione delle immagini. Tu (o un orchestratore) chiamate l'API/console del provider con una dimensione, una regione/zona e un'immagine di base. Questo definisce il sistema operativo e il software di base in modo che la piattaforma possa creare una VM/contenitore ogni volta.
Pianificazione su host fisiciIl piano di controllo verifica la capacità e posiziona l'istanza su un host adatto (considerando la CPU, RAM, acceleratori e politiche di posizionamento). Ciò trasforma la richiesta astratta in risorse effettivamente riservate su hardware.
Avvio e inizializzazioneIl runtime dell'hypervisor/container avvia l'istanza dall'immagine. Cloud-init o un equivalente legge i dati/metadati dell'utente per configurare il nome host, gli utenti/chiavi, i pacchetti e i servizi, producendo un ambiente pronto all'uso senza configurazione manuale.
Cablaggio di rete e di sicurezza. Virtuale NIC sono collegati alla tua VPC/subnet; gruppi di sicurezza/firewall e vengono applicate le regole di routing. Vengono assegnati IP pubblici/privati e (facoltativamente) bilanciatori di carico. Questo garantisce all'istanza una connettività controllata e impone limiti di accesso.
Attacco di archiviazioneDischi locali effimeri e/o blocchi/file persistentiobject storage vengono mappati e montati. Ottieni spazio di lavoro rapido per dati temporanei e volumi durevoli per carichi di lavoro con stato e snapshot/backups.
Funzionamento e osservabilità. Il tuo applicazione Esegue; la piattaforma trasmette in streaming metriche, log e tracce; gli agenti possono segnalare lo stato di integrità. Policy come gruppi di scalabilità automatica o controller Kubernetes aggiungono/rimuovono istanze in base al carico, mantenendo prestazioni ed efficienza dei costi.
Modifica, snapshot o terminaÈ possibile ridimensionare, migrare host, creare snapshot di immagini/volumi o ibernare/arrestare/terminare tramite API. Questi controlli del ciclo di vita consentono un rapido ripristino, la clonazione, il controllo dei costi e il deprovisioning sicuro al termine del carico di lavoro.

Tipi di Cloud Istanze

Cloud I provider raggruppano le istanze in famiglie ottimizzate per diversi profili di carico di lavoro. Di seguito sono riportati i tipi più comuni e il modo in cui ciascuno mappa le risorse in base alle esigenze prestazionali:

Di uso generale. CPU, memoria e rete bilanciate per carichi di lavoro misti come app web, piccolo banche dati, servizi interni e microservicesDanno priorità alla versatilità rispetto alla specializzazione, il che li rende una scelta sensata quando non si conosce ancora il collo di bottiglia dominante.
Ottimizzato per il calcolo. Maggiore numero di vCPU e velocità di clock per GB di RAM per aumentare la produttività su attività legate alla CPU come elaborazione in lotti, transcodifica multimediale, gioco serverse API stateless ad alto QPS. Queste istanze sacrificano la capacità di memoria per un maggior numero di core e prestazioni single-thread/multi-thread più veloci.
Ottimizzato per la memoria. Grandi impronte di RAM e memoria elevata larghezza di banda per i database in memoria, cache, analisi in tempo reale e JVM con heap di grandi dimensioni. L'obiettivo è ridurre al minimo gli errori di pagina e la pressione del GC, massimizzando al contempo la residenza del set di dati in memoria per applicazioni a bassolatenza accesso.
Ottimizzato per l'archiviazione. Dispositivi a blocchi in rete NVMe locali o ad alto IOPS ottimizzati per intensità di lettura/scrittura casuali. Ideali per archivi NoSQL, database di serie temporali, log/code. backende indicizzazione dei dati in cui IOPS costanti, bassa latenza di archiviazione e throughput elevato dominano le prestazioni.
Calcolo accelerato (GPU/TPU/DPU). Collegare acceleratori specializzati per scaricare carichi di lavoro paralleli: GPU/TPU per ML formazione/inferenza e algebra lineare HPC e DPU/SmartNIC per il networking, compressionee offload di sicurezza. Queste istanze abbinano un'ampia larghezza di banda PCIe a interconnessioni veloci per alimentare gli acceleratori.
Esplodibile. Progetti basati sul credito che funzionano a una baseline bassa e "scoppiano" alla CPU completa quando necessario, adattandosi a servizi leggeri e spigolosi (sviluppo/test, piccoli siti web, servizi a basso carico demoni). Scambiano una produttività sostenuta con costi inferiori in stato stazionario, continuando comunque a coprire picchi occasionali.
HPC e ottimizzata per la rete. Calcolo strettamente accoppiato con elevata larghezza di banda di memoria, scratch locale veloce e networking a bassa latenza e alta produttività (fabric di classe SR-IOV, RDMA o InfiniBand). Adatto per carichi di lavoro CFD, FEA, genomica, training distribuito e MPI che dipendono dalla rapida comunicazione nodo-nodo.
Istanze bare-metal. Accesso diretto al fisico servers senza un hypervisor, consentendo il controllo completo delle funzionalità hardware (personalizzato kernel, stack di virtualizzazione, layout NUMA bloccati) e prestazioni costanti per database sensibili alla latenza, licenze specializzate o quando è necessario eseguire il proprio hypervisor/container su raw iron.

Cloud Esempio di istanza

Un piccolo team SaaS avvia un'istanza generica di Ubuntu 22.04 in eu-west (ad esempio 2 vCPU, 8 GB di RAM) con 100 GB SSD volume e un IP pubblico.

Durante l'avvio, cloud-init installa automaticamente docker, estrae l'immagine dell'applicazione e inietta un SSH chiave per consentire l'amministrazione. Il piano di controllo connette quindi la macchina virtuale a una subnet VPC, applica un gruppo di sicurezza che consente il traffico web sulle porte 80 e 443 da Internet e l'accesso SSH sulla porta 22 dall'ufficio e registra l'istanza dietro un bilanciatore del carico gestito dotato di un TLS certificato e Record DNS.

Le metriche e i log di sistema vengono inviati costantemente al servizio di monitoraggio del provider, mentre gli snapshot notturni garantiscono la protezione dei dati per il volume collegato. Quando l'utilizzo della CPU supera il 60% per più di cinque minuti, una policy di scalabilità automatica avvia ulteriori istanze identiche. Al diminuire del traffico, la policy ridimensiona automaticamente l'ambiente per ottimizzare i costi.

Cloud Casi d'uso dell'istanza

Cloud Le istanze coprono ogni ambito, da rapidi esperimenti a sistemi mission-critical, con possibilità di espansione o riduzione in base alle esigenze. Ecco i casi d'uso più comuni:

Hosting web e API. Esegui front-end stateless e servizi REST/GraphQL con ridimensionamento automatico dietro i bilanciatori del carico per un traffico elastico.
Piattaforme di microservizi. Schierare orchestratori di container (ad esempio, nodi Kubernetes) o servizi leggeri con domini di errore isolati.
Database e cache. ospite relazionale/Motori NoSQL e cache in memoria con NVMe collegato o storage a blocchi ad alto IOPS per bassa latenza.
Elaborazione dati ed ETL. Avvia flotte transitorie per lavori Spark/Flink, indicizzazione dei log o trasformazioni batch notturne, quindi smantellale per risparmiare sui costi.
Addestramento e inferenza ML/AI. Utilizzare istanze GPU/TPU per l'addestramento del modello; eseguire l'inferenza su nodi GPU/CPU più piccoli, vicini agli utenti, per una bassa latenza.
CI / CD costruire corridori. Fornire worker puliti ed effimeri per build, test, packaging di artefatti e scansioni di sicurezza con ambienti prevedibili.
Sviluppo/test sandbox. Creare ambienti isolati e di breve durata che rispecchino la produzione per il lavoro di feature, QAe test di integrazione.
HPC e simulazioni. Esegui lavori MPI strettamente accoppiati con reti ad alta larghezza di banda e scratch locale veloce per CFD, FEA o genomica.
App sensibili ai margini e alla latenza. Posizionare istanze in zone regionali/metropolitane per backend di gioco, analisi in tempo reale o IoT gateway.
VDI e postazioni di lavoro remote. Fornisci desktop GPU/CPU a progettisti, analisti e appaltatori con accesso controllato da policy.
Funzioni di rete e sicurezza. Operare NAT porte, WAF/proxy inversi, VPN concentratori, o IDS/IPS come dispositivi virtuali.
Ripristino di emergenza e failover. Mantenere le immagini di standby calde/fredde e le repliche dei dati per ripristinare rapidamente i servizi durante le interruzioni.

Best practice per l'utilizzo Cloud Istanze

Progettare per garantire ripetibilità, sicurezza e controllo dei costi, in modo che le istanze rimangano affidabili sotto carico e poco costose quando sono inattive. Ecco le best practice da applicare:

Adatta le dimensioni e ridimensiona automaticamente. Inizia con l'istanza più piccola che soddisfa gli SLO, abilita verticale/ridimensionamento orizzontalee impostare soglie di CPU e memoria per aggiungere o rimuovere capacità automaticamente.
Scegli la famiglia giusta. Scegli un tipo di istanza che soddisfi le esigenze specifiche del tuo carico di lavoro, che sia ottimizzato per il calcolo, la memoria, lo storage o la GPU. In questo modo, le risorse saranno utilizzate in modo efficiente e non pagherai troppo per capacità di cui la tua applicazione non ha bisogno.
Build immutabili con Iac. Cuocere immagini dorate (Packer/cloud-init) e dichiarare l'infrastruttura nel codice (Terraform/Pulumi) per ottenere distribuzioni coerenti e verificabili.
Rafforzare l'accesso. Applicare il privilegio minimo IAM, disabilitare la password SSH, utilizzare coppie di chiavi/SSO, limitare le porte di gestione. Limitare l'accesso alle porte di gestione come SSH (22) e RDP (3389) e preferire l'utilizzo di AWS Systems Manager (SSM) o altri strumenti di accesso remoto basati su agenti anziché esporre endpoint SSH pubblici.
Segmentazione della rete. Posiziona le istanze in subnet private per isolarle dall'accesso diretto a Internet. Utilizza gruppi di sicurezza e liste di controllo degli accessi alla rete (NACL) per controllare rigorosamente il traffico in entrata e in uscita. Instrada le connessioni in uscita tramite un gateway NAT e posiziona i servizi front-end dietro i bilanciatori di carico e un WAF per una maggiore protezione. Ove possibile, utilizza endpoint VPC anziché API pubbliche per mantenere il traffico all'interno della rete privata del provider.
Crittografa ovunque. Usa il crittografato volumi di blocco, object storagee TLS in transito. Ruotare le chiavi KMS secondo una pianificazione e separare l'accesso alle chiavi e ai dati.
Toppa e di base. Applica regolarmente gli aggiornamenti del sistema operativo e del kernel. Blocca le versioni dei pacchetti per prevenire modifiche impreviste o incompatibilità durante le distribuzioni. Incorpora scansioni di conformità di base del CIS o di altri sistemi operativi nella tua pipeline di CI per verificare automaticamente che le configurazioni di sistema soddisfino gli standard di sicurezza.
Osservabilità per impostazione predefinita. Invia log, metriche e tracce a un sistema centralizzato di monitoraggio e osservabilità per garantire la visibilità sulle prestazioni delle applicazioni e sullo stato dell'infrastruttura. Configura controlli di integrità per rilevare e rispondere automaticamente ai guasti e definisci SLO chiari insieme a regole di avviso per monitorare l'affidabilità. Etichetta coerentemente le risorse in modo che dashboard, report e allocazioni dei costi siano organizzati e riflettano accuratamente l'utilizzo nei vari ambienti.
Resilienza e recupero. Distribuisci le istanze su più zone o regioni di disponibilità per migliorare la tolleranza agli errori e ridurre al minimo i tempi di inattività. Configura i controlli di integrità delle istanze con policy di riavvio o sostituzione automatiche per garantire la continuità del servizio. Gestisci Amazon Machine Image (AMI) testate o immagini di sistema equivalenti, insieme a snapshot regolari dei volumi, in modo da poter ripristinare o ridistribuire rapidamente i sistemi, se necessario.
Conservazione adatta e igiene. Utilizzare l'archiviazione NVMe temporanea per dati temporanei o scratch, l'archiviazione a blocchi ad alto IOPS per database e carichi di lavoro sensibili alla latenza e object storage per dati di grandi dimensioni o a cui si accede raramente. Monitorare costantemente IOPS e throughput per garantire l'efficienza delle prestazioni e rimuovere regolarmente volumi orfani e snapshot obsoleti per controllare i costi di archiviazione e ridurre l'ingombro.
Controllo dei costi. Pianifica arresti automatici per gli ambienti non di produzione per evitare di pagare per risorse inattive. Utilizza istanze riservate o impegnate per carichi di lavoro prevedibili e sfrutta la capacità spot o preemptible quando è sicuro farlo per risparmiare sui costi. Imposta avvisi per modelli di spesa insoliti o imprevisti per identificare rapidamente inefficienze o potenziali configurazioni errate.
Ottimizzazione delle prestazioni. Abilita funzionalità di rete e memoria avanzate come ENA, SR-IOV o RDMA quando supportate. Allinea i carichi di lavoro alla topologia NUMA del sistema per ridurre la latenza e migliorare le prestazioni. Regola opportunamente le dimensioni della coda di rete e I/O, valuta l'abilitazione di pagine di grandi dimensioni per applicazioni che richiedono molta memoria ed esegui sempre il benchmark delle prestazioni prima e dopo aver apportato modifiche alla configurazione.
Metadati e segreti sicuri. Bloccare il servizio di metadati (ad esempio, richiedere token di sessione), recuperare i segreti dell'applicazione da un gestore di segreti dedicato anziché memorizzarli in variabili di ambiente o file di configurazionee ruotare regolarmente i segreti per mantenere la sicurezza.
Ciclo di vita aggraziato. Utilizzare ganci del ciclo di vita o di drenaggio durante gli eventi di ridimensionamento o di terminazione dell'istanza per consentire il completamento corretto delle connessioni e delle attività attive. Configurare breve tempo di vivere valori nei record DNS per consentire aggiornamenti più rapidi e un reindirizzamento del traffico più fluido. Implementare blu-verde o distribuzione canarino strategie per distribuire gradualmente gli aggiornamenti, riducendo al minimo i tempi di inattività ed evitando interruzioni per gli utenti durante le modifiche alle applicazioni.

Quali sono i vantaggi e le sfide di Cloud Istanze?

Cloud Le istanze offrono provisioning rapido, scalabilità elastica e offload operativo, ma questi vantaggi comportano dei compromessi. Questa sezione descrive i principali vantaggi (velocità, flexbilità, allineamento dei costi) insieme alle sfide comuni (variazione delle prestazioni, complessità, sicurezza e controllo della spesa) in modo da poter decidere quando e come utilizzarli in modo efficace.

Vantaggi della Cloud Istanze

Cloud Le istanze riducono il provisioning da settimane a minuti e consentono di mappare le risorse con precisione in base alla domanda del carico di lavoro, scaricando al contempo le operazioni indifferenziate. Ecco i principali vantaggi:

Velocità di distribuzione. Avvia ambienti standardizzati da immagini/modelli in pochi minuti, accelerando esperimenti, rilasci e ripristini.
Scala elastica. Aggiungi o rimuovi automaticamente la capacità con l'auto-scaling, adattando l'offerta al carico in tempo reale ed evitando spese inattive.
Allineamento dei costi. Paga in base all'utilizzo (su richiesta/spot) o con impegno per ottenere sconti (utilizzo riservato/impegnato), con controlli granulari di arresto, ibernazione e dimensionamento.
Portata globale. Posizionare istanze in regioni/zone per latenza, residenza dei dati e ripristino di emergenza senza creare nuove data centers.
Scarico operativo. I provider gestiscono le strutture, il ciclo di vita dell'hardware e la maggior parte dello stack di virtualizzazione, riducendo i costi generali di approvvigionamento e manutenzione.
Standardizzazione e riproducibilità. Immagini, IaC e metadati/dati utente creano ambienti coerenti e verificabili in tutti i team e in tutte le fasi.
Opzioni di prestazione. Scegli famiglie ottimizzate per elaborazione, memoria, storage, GPU/TPU o reti HPC per risolvere con precisione i colli di bottiglia.
Modelli di resilienza. Controlli di integrità, sostituzione delle istanze, posizionamento multi-AZ e snapshot/immagini consentono un rapido failover e ripristino.
Primitivi di sicurezza. IAM integrato, VPC isolate, gruppi di sicurezza, crittografia supportata da KMS ed endpoint privati migliorano la sicurezza di base.
Integrazione dell'ecosistema. I bilanciatori di carico nativi, i database gestiti, l'osservabilità e i servizi CI/CD si collegano con un codice di collegamento minimo.

Sfide di Cloud Istanze

Cloud Le istanze introducono nuovi rischi operativi e compromessi che richiedono pianificazione, misure di sicurezza e automazione per una gestione efficace. Ecco le principali sfide:

Variabilità delle prestazioni. Host multi-tenant, vicini rumorosi e I/O virtualizzati possono causare jitter. Spesso sono necessarie policy di ottimizzazione (SR-IOV/RDMA/ENA, pinning NUMA) e di posizionamento.
Imprevedibilità dei costi. Prezzi on-demand, scalabilità automatica e data egress possono far impennare le bollette. Senza budget, tag e avvisi, la spesa aumenta rapidamente.
Gravità dei dati e tariffe di uscita. Lo spostamento di grandi set di dati tra regioni e/o servizi è lento e costoso, scoraggiando la portabilità e i test DR.
Gestione statale. L'archiviazione di istanze effimere e gli eventi di ridimensionamento complicano la persistenza; richiedono volumi durevoli, replica e svuotamento graduale.
La sicurezza è condivisa. IAM non configurato correttamente, gruppi di sicurezza aperti, metadati esposti e segreti trapelati sono insidie comuni nel modello di responsabilità condivisa.
Complessità della rete. La progettazione VPC, i CIDR sovrapposti, le catene NAT/WAF/LB e gli endpoint privati aggiungono complessità al raggio di esplosione e alla risoluzione dei problemi.
Blocco del fornitore. Le immagini proprietarie, le famiglie di istanze e le integrazioni di servizi gestiti ostacolano la portabilità e la multi-cloud failover.
Espansione operativa. Il self-service rapido crea problemi di deriva delle immagini, configurazioni a fiocco di neve e risorse orfane senza solide policy IaC e di ciclo di vita.
Quote e vincoli di capacità. Le quote regionali o la scarsa capacità dell'acceleratore (GPU/TPU) possono bloccare i lanci nelle ore di punta.
Rischio spot/prevenibile. La capacità economica può essere recuperata con breve preavviso; i carichi di lavoro devono tollerare interruzioni o mantenere soluzioni di riserva.
Conformità e residenza. Mappatura delle istanze sui confini normativi (PII, HIPAA/GDPR, controlli sulle esportazioni) richiede un posizionamento e dei controlli precisi.
Lacune di osservabilità. La virtualizzazione black-box e gli edge gestiti possono limitare la telemetria di basso livello, rendendo più difficile l'analisi delle cause profonde senza agenti e tracciamento aggiuntivi.

Cloud FAQ sull'istanza

Ecco le risposte alle domande più frequenti su cloud le istanze.

Qual è la differenza tra un'istanza e un Server?

An esempio è un'unità di elaborazione logica, solitamente una macchina virtuale o un contenitore, a volte bare-metal, fornito e gestito tramite un cloud piano di controllo con dimensionamento elastico, operazioni rapide del ciclo di vita e fatturazione basata sull'utilizzo. D'altra parte, un server è la macchina fisica sottostante (CPU, memoria, dischi, NIC) che esegue effettivamente i carichi di lavoro.

Più istanze possono condividerne una server tramite un hypervisor o un runtime di container (multi-tenancy), mentre un server è un dominio di guasti hardware fisso con capacità fissa, posseduto e gestito come una risorsa. In parole povere, le istanze sono astrazioni definite dal software, usa e getta e guidate da API, mentre servers sono hardware tangibile.

Qual è la differenza tra un file Cloud Istanza e macchina virtuale?

A macchina virtuale (VM) è un costrutto di virtualizzazione che esegue un sistema operativo e applicazioni in un ambiente isolato gestito da un hypervisor. Può funzionare in locale o in cloud.

A cloud esempiod'altra parte, è un cloud Servizio fornito tramite un'API o una console di gestione. Fornisce risorse di elaborazione insieme a funzionalità integrate di networking, storage, gestione delle identità e degli accessi (IAM), monitoraggio, ridimensionamento automatico e fatturazione basata sull'utilizzo.

In molti cloud ambienti, un cloud L'istanza è implementata come una VM. Tuttavia, può anche assumere la forma di un istanza bare-metal, che viene eseguito direttamente sull'hardware fisico senza un hypervisor o un istanza del contenitore, che si basa sull'isolamento a livello di runtime anziché sulla virtualizzazione completa.

In termini pratici, una VM si riferisce all'unità tecnica sottostante della virtualizzazione, mentre una cloudL'istanza rappresenta l'astrazione del servizio di livello superiore che include controlli del ciclo di vita, policy e prezzi. Pertanto, tutte le VM offerte da un cloud i provider sono considerati istanze, ma non tutte le istanze sono necessariamente VM.

Quanto tempo ci vuole per la distribuzione? Cloud Istanze?

Il tempo di provisioning varia a seconda del tipo di istanza e della configurazione. Basato su VM standard cloud Le istanze vengono in genere avviate entro 30 secondi o circa 5 minuti, presupponendo immagini memorizzate nella cache e un bootstrapping minimo. Le istanze container spesso si avviano in pochi secondi, mentre le istanze bare-metal possono richiedere dai 5 ai 20 minuti o più a causa dei controlli del firmware e dell'imaging completo del sistema operativo.

Il tempo di distribuzione effettivo dipende da diversi fattori, tra cui le dimensioni dell'immagine, gli script di inizializzazione (ad esempio cloud-init o user-data), impostazioni di provisioning dello storage (quote IOPS, crittografia del volume), configurazione di rete (VPC, subnet, gruppi di sicurezza, assegnazioni IP), capacità di posizionamento (GPU o istanze spot potrebbero essere soggette a code) e processi di orchestrazione (eventi del ciclo di vita di ridimensionamento automatico o controlli di integrità).

L'utilizzo di pool caldi, immagini "golden" predefinite e script di avvio leggeri può ridurre significativamente i tempi di avvio a freddo, mentre installazioni di pacchetti di grandi dimensioni, ripristini di database o compilazioni di configurazioni possono prolungarli notevolmente.

sia Cloud Istanze sicure?

Sì, cloud le istanze possono essere sicure, a condizione che siano configurate correttamente e gestite secondo il modello di responsabilità condivisa. Cloud I provider proteggono l'infrastruttura sottostante attraverso misure di sicurezza fisiche, hypervisor rinforzati, isolamento del carico di lavoro e gestione delle chiavi sistemi (KMS). Tuttavia, è tua responsabilità proteggere la gestione delle identità e degli accessi (IAM), le reti, il sistema operativo e le applicazioni in esecuzione sull'istanza.

Seguire le migliori pratiche di sicurezza come l'applicazione accesso con privilegi minimi, posizionando le risorse in subnet private, utilizzando gruppi di sicurezza e firewall per applicazioni Web (WAF), crittografando dati a riposo e in transito con volumi crittografati e TLS, e archiviazione delle credenziali in archivi segreti gestiti. Sono inoltre essenziali l'applicazione regolare di patch, la conformità di base e il monitoraggio continuo con avvisi.

Per migliorare la resilienza, distribuire le istanze su più zone di disponibilità (multi-AZ) e mantenerle backups. Inoltre, abilitare le protezioni dei metadati delle istanze, come IMDSv2 o token di sessione, per impedire l'esposizione o il furto delle credenziali.