如今，许多组织几乎完全被采用IaaS取代虚拟数据中心、内部部署服务器和设备。这种广泛的实现需要确保IaaS为了适应这种增加使用量的情况，操作环境是安全的。
与PaaS或SaaS与环境相比，客户采用IaaS面对更多的安全责任。例如，在SaaS以操作系统为中心的任务(如操作系统补丁)超出了客户的控制范围。然而，在IaaS在模型中，它的责任在于客户，因为他们可以控制工作负荷，而在这种情况下是虚拟计算图像。
拥有控制权将带来责任。通过更多地控制基础设施，IaaS客户还将承担确保其安全的负担。IaaS堆栈的位置践需要适应不同的用特定的安全指导，因为最佳实践需要适应不同的用途。但也有一些IaaS可选择最佳的安全实践，可广泛应用于云计算提供商和使用场景。
以下是云计算客户IaaS安全检查清单中的五个基本步骤：
1. 了解云计算提供商的安全模型
在使用IaaS产品之前，组织的信息安全负责人需要确保他们了解云计算提供商的安全模型。这很重要，这主要有两个原因：首先，云计算提供商对相似的概念使用不同的术语。例如，用户可以使用AWS资产也可以在谷歌云平台上组织标签(GCP)在项目中组织。但这将影响云安全战略改变的实施，因此理解术语有助于防止错误。
其次，从操作的角度来看是非常重要的。用户需要哪些安全功能是可用的，以及这些功能的潜在价值或限制。考虑到这种情况，信息安全负责人需要确定操作配置文件的任何必要变更，以确保这些特性的有效使用。
Amazon GuardDuty和Microsoft Defender for Identity(前身为Azure Advanced Threat Protection)其他服务在概念上非常相似，但在操作模式上与用户操作员获得价值的方式完全不同。可以构建一个控制图来比较提供者之间的功能。这在多云环境中尤为重要。
无论云计算提供商如何，这些清单都可以用于应用IaaS最佳安全实践。
2. 静态数据加密
大多数云计算提供商(尤其是大型提供商)都可以在其中进行IaaS在平台上创建的虚拟机进行加密。这种加密功能通常是免费的低成本的。用户可以选择管理自己的密钥或云计算提供商。
考虑到对财务和运营的影响较小，使用这种加密功能是一个明智的决定（如果未在默认情况下启用）。IaaS安全检查表的第一步是确保静态加密是否影响其他云计算提供商提供的服务，如备份和恢复功能。
3. 补丁不断更新
IaaS客户主要负责保持工作负荷的最新状态。在大多数情况下，这包括操作系统本身和任何安装在这些图像中的软件。云计算工作负荷也应采取相同的措施，就像需要修复和维护内部部署的服务器一样。虽然这听起来像常识，但一致的补丁可能比看起来困难得多。特别是在不同的组或通过不同的操作流程管理云计算资源时。
4. 监控和盘点
密切关注基于云计算或任何其他资产的常识。但就像修复程序一样，监控功能可以位于组织中的不同组中。此外，云计算提供商通过不同的界面提供各种监控机制。这些操作挑战需要大量的计划和远见，以确保一致和高效的云计算监控。因此，安全领导者应该留出足够的时间来制定监控策略。
此外，组织需要保持最新的图像清单。IaaS控制台将列出内容，但不一定包括相关组织中使用虚拟机的人(VM)以及为什么使用虚拟机(VM)详细信息。清单系统和IaaS在控制台中维护清单信息很有帮助。这使得安全团队能够在那里IaaS控制台交叉引用信息，跟踪多个云计算平台的工作负载，一目了然地确定工作负载。
5. 管理访问权限
在IaaS考虑多个身份和访问管理(IAM)维度作为IaaS安全清单的一部分。首先，访问操作系统及其上安装的任何应用程序和中间件。其次，在操作系统级别考虑特权访问(包括root或管理访问)。IaaS这些身份和访问管理(IAM)应认真管理和控制注意事项。
需要注意的是，IaaS还有其他唯一的访问“层”。该层包括访问IaaS控制台等程序功能提供相关或影响云计算资源运行的信息。这些功能（如备份和恢复、密钥管理和审计）可以在确保资源安全方面发挥作用。因此，了解谁有权访问提供商控制台的这些区域以及目的是非常重要的。
组织只有在需要时才能使用即时访问和其他功能。使用跳转服务器集中访问权限，以确保监控的统一实施，并尽量减少工作负载攻击面。