亚马逊云服务（AWS）的基础设施通过多种方式保证数据安全，具体如下：
- 身份认证与访问控制：
- IAM 服务：AWS Identity and Access Management（IAM）是身份认证与访问控制的核心服务。它可以为用户提供涵盖整个 AWS 所有服务和资源的精细访问控制。用户和角色的权限可以被精确地定义和管理，确保只有经过授权的用户能够访问相应的资源，遵循最小权限原则，即用户和组只被授予完成其工作所需的权限，而没有任何过多的特权。
- 多因素身份验证：对于高安全要求的账户，如 root 账户等，AWS 强烈建议启用多因素身份验证（MFA）。这增加了账户的安全性，即使攻击者获取了用户的密码，也无法轻易登录账户，因为还需要额外的验证因素，如验证码、指纹识别等。
- Amazon Organizations：这是一个高效的身份认证与访问控制服务，可以对一个组织的多账号进行集中管理和治理，建立权限防护机制和数据边界，方便企业对多个账号的访问权限进行统一管理和监控。
- 数据加密：
- 存储加密：对于存储在 AWS 中的数据，提供了多种加密方式。例如，Amazon KMS（Key Management Service）密钥管理服务可以实现存储过程中的加密，并且与 AWS 的 140 多个服务集成，能够对存储在这些服务中的数据进行加密。对于数据保密性要求更高的客户，Amazon CloudHSM 提供了安全、简单的云上专属加密机，确保数据在存储时的安全性，防止数据被未经授权的访问或窃取。
- 传输加密：在数据传输过程中，AWS 使用安全协议（如 TLS 1.2 及以上版本）来加密数据，确保数据在传输过程中的机密性和完整性。无论是在 AWS 内部不同服务之间的数据传输，还是用户与 AWS 之间的数据传输，都有加密措施保障。
- 网络与基础设施安全：
- DDoS 防护：AWS 提供了 Amazon Shield Advanced 服务，为客户提供全天候的 DDoS（分布式拒绝服务攻击）防护。DDoS 攻击是一种常见的网络攻击方式，会导致服务不可用，AWS 的防护服务可以有效地抵御这种攻击，保障网络的稳定性和可用性。
- Web 应用防火墙：Amazon WAF 是一种 Web 应用防火墙服务，提供了丰富的规则库，包括亚马逊安全团队自研的全托管规则，客户也可以自定义规则，还有国际一线安全厂商的托管规则。它可以过滤和阻止恶意的网络流量，保护 Web 应用程序免受各种网络攻击，如 SQL 注入、跨站脚本攻击等。
- 安全组和网络访问控制：安全组充当防火墙来过滤和控制 AWS 环境中的网络流量。管理员可以根据需要设置安全组的规则，限制 IP 范围等，确保只有合法的网络流量能够访问相应的资源，防止未经授权的访问。
- 数据中心的物理安全：
- 选址与建设：AWS 的数据中心选址经过严格的考量，通常位于地质稳定、自然灾害较少的地区。数据中心的建筑结构坚固，具备抗震、防火、防水等能力，能够抵御各种物理威胁。
- 访问控制：数据中心的访问受到严格的控制，只有经过授权的人员才能进入。采用多重身份验证、门禁系统、监控摄像头等措施，确保数据中心的物理安全，防止未经授权的人员接触到服务器和存储设备等基础设施。
- 安全审计与监控：
- AWS CloudTrail：这是一项日志服务，提供与用户的 AWS 账户关联的活动的历史记录，包括通过 AWS 管理控制台、AWS 开发工具包、命令行工具和其他 AWS 服务执行的操作。CloudTrail 可以帮助用户监控资源的更改、跟踪用户的操作行为，便于进行安全审计、故障排查和合规性检查。
- Amazon GuardDuty：可以持续检测在 AWS 中发生的威胁，具有丰富的情报源，并集成了机器学习的能力，能够实现威胁的精准定位和快速响应，及时发现潜在的安全风险。
- 合规性支持：AWS 支持众多的安全标准和合规性认证，如 PCI-DSS、HIPAA、SOC 等。这对于企业用户来说非常重要，特别是那些在金融、医疗等行业的用户，需要满足严格的合规要求。AWS 帮助用户满足这些合规要求，降低了用户的合规风险和法律风险。
