[僅限PaaS]{class="badge informative" title="僅適用於雲端專案(Adobe管理的PaaS基礎結構)和內部部署專案的Adobe Commerce 。"}
共擔責任安全性與營運模式
雲端基礎結構上的Adobe Commerce是一項平台即服務(PaaS)產品，仰賴共同責任的安全性和營運模式。 這些責任由Adobe、商家、雲端服務提供者和內容傳遞網路(CDN)提供者共用。 各方都有責任保護及營運Adobe Commerce應用程式，以及雲端基礎結構上部署之商家專用程式碼和擴充功能。
此共用模式可讓商戶設計和實作高度彈性、可自訂且可擴充的解決方案，以符合其業務需求，同時將營運責任和成本降至最低。
一般而言，Adobe的職責如下：
- 開發及維護安全的核心應用程式程式碼
- 維護平台的安全性
- 確保平台符合SOC 2和PCI標準，並與PCI標準的技術元件（例如PHP、Redis）相容
- 回應核心平台的安全問題
- 與雲端服務供應商和CDN合作夥伴合作，解決發生的任何問題
商家需負責下列事項：
- 維護自訂程式碼的安全性以及與協力廠商應用程式的整合
- 確保安全的應用程式開發
- 如果商戶的付款處理程式要求，請取得PCI認證
- 回應和回應安全性事件
Adobe責任
Adobe負責雲端基礎結構環境及核心解決方案程式碼上的Adobe Commerce安全性和可用性。 此外，Adobe還負責必要的活動和機制，以維護Adobe Commerce在雲端基礎結構解決方案上的安全性，包括：
- 在雲端基礎結構上為Adobe Commerce支援的應用程式套用伺服器層級安全性和修補程式，例如雲端資料儲存和搜尋功能
- 在雲端基礎結構程式碼上執行核心Adobe Commerce的滲透測試和掃描
- 對公共雲端服務提供者的身分與存取管理(IAM)解決方案和許可權管理（PCI法規遵循要求）進行半年一度的審查和稽核
- 對授權的使用者進行半年一度的審查和稽核，包括Adobe員工和承包商（PCI法規遵循要求）
- 進行備份和還原功能的年度測試和檔案記錄
- 設定伺服器和周邊防火牆
- 在雲端基礎結構存放庫上連線和設定Adobe Commerce
- 為Adobe職責範圍內的區域定義、測試、實施和記錄災難回覆(DR)計畫
- 定義全域平台網頁應用程式防火牆(WAF)規則
- 強化作業系統(OS)
- 在雲端基礎結構上實作並維護內容發佈網路(CDN)和應用程式效能管理(APM)解決方案與Adobe Commerce的整合
- 在雲端基礎結構程式碼上發佈核心Adobe Commerce的定期安全性和其他更新（套用修補程式是商家的責任）
- 管理商家支援和支援存取控制（例如Zendesk）
- 監控、記錄及修正雲端基礎結構上Adobe Commerce的安全事件
- 監控平台作業，並在雲端基礎結構商家上提供Adobe Commerce的全天候支援
- 布建生產和中繼環境
- 評估平台作業與基礎建設的潛在安全性威脅
- 根據服務等級協定(SLA)和商家之間的說明，擴充運算、儲存、網格和其他資源
- 設定DNS (僅限雲端基礎結構平台基礎結構上的Adobe Commerce)
- 測試平台是否有安全漏洞
Adobe維護Adobe Commerce解決方案使用之基礎結構和服務的PCI認證。 商戶需負責自訂程式碼、系統和網路程式的合規性，以及組織。
Adobe也會確保商家基礎建設的可用性，如適用的SLA中所商定。
商戶責任
該商戶負責針對雲端基礎結構解決方案上其特定的Adobe Commerce自訂執行個體，遵循下列安全性最佳實務：
-
將雲端基礎結構設定檔案上的必要Adobe Commerce新增到存放庫
-
在Adobe發佈雲端基礎結構解決方案的自訂Adobe Commerce後，立即套用安全性和其他修補程式至其自訂
-
在廠商發佈所有自訂擴充功能和程式碼後，立即套用安全性和其他修補程式
-
建立、部署和測試自訂Vcl檔案
-
在雲端基礎結構解決方案上設計、設定主題、安裝、整合及保護自訂Adobe Commerce，包括所有自訂擴充功能和程式碼
-
授予和撤銷使用者對雲端基礎結構設定、應用程式和平台上Adobe Commerce商家例項的存取權
-
處理與商戶的內部網路、伺服器、基礎結構和任何在雲端基礎建設平台上的Adobe Commerce上建置的自訂應用程式相關的安全性問題
-
在雲端基礎結構上安裝Adobe Commerce命令列整合(CLI)工具
-
根據PCI-DSS准則的定義，維持自訂應用程式和其他內部程式所需的PCI相容性等級
note note NOTE 為了將必須檢視的領域降到最低，商家的PCI法規遵循建立在Adobe Commerce和雲端主機供應商的PCI認證上。 -
在雲端基礎結構程式碼和平台執行PCI ASV掃描並修正核心Adobe Commerce中的問題
-
監控所有可能顯示潛在安全威脅的應用程式活動，包括滲透測試、弱點掃描和記錄
-
監控及回應安全性事件，包括與商家Adobe Commerce相關的法證、補救及報告，用於雲端基礎結構解決方案和使用者帳戶
-
取得DNS提供者，以及設定和維護任何商家特定的DNS記錄
-
在自訂應用程式上執行效能測試
-
保護對平台帳戶的存取權、執行個體存取權和應用程式
-
自訂應用程式的測試和QA
-
維護商戶在雲端基礎結構應用程式上連線至Adobe Commerce的任何系統或網路的安全性
Cloud Service提供者責任
Adobe仰賴成熟雲端服務提供者，在雲端基礎結構上為Adobe Commerce託管雲端伺服器基礎結構。 這些提供者負責網路安全，包括路由、交換及周邊網路安全，透過防火牆系統和入侵偵測系統(IDS)。 雲端服務供應商也負責在雲端基礎結構解決方案上託管Adobe Commerce的資料中心的實體安全性，以及資料中心的環境安全性。
雲端服務供應商也負責：
- 維護其雲端服務的PCI DSS、SOC 2和ISO 27001認證
- 保護Hypervisor
- 保護資料中心的安全，包括實體及網路存取
CDN提供者責任
雲端基礎結構解決方案的Adobe Commerce使用CDN提供者來加速頁面載入時間、快取內容，並立即清除過時的內容。 這些提供者也負責與其CDN直接相關或影響其安全性的問題，以及定義和維護CDN WAF規則。
安全性責任摘要
下列摘要表使用RACI模型來顯示Adobe、商家和雲端服務提供者之間共用的安全性責任：
R — 負責
A — 負責
C — 已諮詢
I — 已通知
（例如Nginx或MySQL。）
1 僅限將雲端基礎結構存放庫上的Adobe Commerce作為主要存放庫時。 商家全權負責使用其他外部存放庫。
2 Adobe針對CDN提供者的問題提供第1級支援。
3 商家必須負責為其應用程式設定的任何Ngnix控制項。
4 針對PCI，滲透測試需求會在Adobe與商家之間共用。
作業責任摘要
下列摘要表格說明在雲端基礎結構上開發、部署、維護及保護Adobe時，Adobe Commerce和商家的營運責任。
編碼與開發
核心Adobe Commerce程式碼
程式碼存放庫
Cloud Docker
COMMERCE CLOUD CLI
自訂
部署
同步環境
商家負責同步環境之間的資料。
修補
網站可用性
效能
記錄檔和監視
APM應用程式與代理程式整合、基礎結構應用程式、
記錄與整合
偵錯和問題隔離
應用程式和服務設定
Commerce應用程式
所支援的服務版本。例如，不同的Commerce版本與特定的PHP、Redis等版本相容。
使用cron工作排程任務
訊息佇列架構的訊息代理人
PHP服務
資料庫服務
（索引和最佳化核心表格，最佳化預設sys-admin設定）
（設定正規化與一般資料表、索引及最佳化自訂與協力廠商資料表、封存或移除資料、設定系統管理設定）
CDN服務
快取服務
搜尋服務
電子郵件服務
服務不支援行銷電子郵件的傳送。
協力廠商服務
Commerce服務擴充功能
進階報告服務
Commerce Intelligence
（API、資料品質和格式、商家網路、
Adobe Commerce Cloud DB內外的DB連線，超過資料臨界值）
（Adobe Commerce Cloud資料庫設定）
產品推薦
網路服務
影像最佳化
SSL憑證
Web應用程式防火牆(WAF)
DDOS
私人連結
之商家擁有的VPC的設定（包括任何VPN連線）