Модель разделённой ответственности

Модель разделённой ответственности — это черта, которую платформа проводит между тем, что эксплуатирует она, и тем, что эксплуатируете вы. Провайдер берёт нижние слои: здания, машины, слой виртуализации и, по мере того как сервис становится всё более управляемым, всё большую часть стека. Вам достаётся всё, что выше черты, и это почти всегда включает то, у кого есть доступ, как всё настроено и что происходит с вашими данными внутри. Главное свойство этой черты в том, что она смещается. Арендовали виртуальную машину — операционную систему обновляете вы; арендовали управляемую базу — уже нет; арендовали готовое приложение — у вас остаются учётные записи, права и содержимое. Покупатели попадают в беду, перенося допущение с одного сервиса на другой, потому что фраза за безопасность отвечает провайдер верна и бесполезна без второй половины. Характерный сбой — это не пролом в половине провайдера. Это зазор: обе стороны прочитали одну и ту же страницу, и каждая решила, что резервные копии, ротация ключей или журнал аудита есть у другой, а их нет ни у кого. Зазор невидим до инцидента, а инцидент — плохое время для такого открытия. Работающая привычка невзрачна. Для каждого сервиса, от которого вы зависите, напишите по строке: кто ставит обновления, кто делает резервные копии и проверяет восстановление, кто держит ключи шифрования, кто пересматривает доступы и кто должен заметить проблему первым. Там, где ответ мы, поставьте рядом имя. Там, где ответ они, найдите в договоре фразу, которая это подтверждает: рекламная страница, описывающая половину провайдера, не является обязательством относительно вашей. На несколько сервисов уходит один вечер, и схема, которой все кивают, превращается в список, у которого есть владелец. Стоит записать ещё одно: когда черта в последний раз смещалась. Переезд с машины, которую вы обновляете сами, на управляемый аналог тихо передаёт полстраницы работы провайдеру, а обратный переезд возвращает её вам, и никто при этом не открывает документ, где написано, кто что делает.