Pokrývá kód funkcí, závislosti, artefakty nasazení, zdroje událostí, identity úloh, oprávnění, tajné údaje, data, API a připojené řízené služby. Serverless úlohy stále běží na serverech; poskytovatel provozuje větší část vrstvy runtime, izolace, škálování a infrastruktury.
Functions as a service běžně používá události ke spouštění krátkodobého kódu, ale serverless zahrnuje i řízené aplikační komponenty. Zabezpečení se posouvá k validaci událostí, autorizaci jednotlivých funkcí, konfiguraci služeb, dodavatelským řetězcům a rozhraním poskytovatele. Krátké provádění a automatické škálování mění monitorování, reakci, dostupnost a scénáře zneužití nákladů.
Klíčové body
Události a identitaAutentizujte cesty vyvolání, zacházejte s payloady a metadaty událostí jako s nedůvěryhodnými, dejte každé funkci úzká oprávnění a omezte přístup k navazujícím službám a síti.
Kód a konfiguracePřezkoumávejte závislosti a balíčky, udržujte tajné údaje mimo kód a logy, oddělujte prostředí, chraňte doručovací pipeline a inventarizujte funkce, spouštěče, vrstvy, verze a nepoužívané koncová zařízení.
Pozorování a odolnostKorelujte události vyvolání, identity, API a dat bez uchovávání zbytečných payloadů; definujte kontroly souběžnosti, timeoutů, opakování, dead-letter front a útraty; a testujte škodlivé i selhávající události.
Důležité omezeníServerless přenáší část provozu infrastruktury, nikoli odpovědnost za aplikaci. Zranitelný kód, nadměrná oprávnění, nebezpečné události, exponované tajné údaje a nezabezpečená API zůstávají riziky zákazníka. Izolaci poskytovatele a viditelnost runtime může být obtížné ověřit, zatímco rychlé škálování, opakování či sdílené závislosti mohou zesílit dopad na denial-of-service, náklady a dostupnost.