Obejmuje kod funkcji, zależności, artefakty wdrożeniowe, źródła zdarzeń, tożsamości obciążeń, uprawnienia, sekrety, dane, API i połączone usługi zarządzane. Obciążenia serverless nadal wykonują się na serwerach; dostawca obsługuje więcej warstwy runtime, izolacji, skalowania i infrastruktury.
Functions as a service zwykle używa zdarzeń do wyzwalania krótkotrwałego kodu, ale serverless obejmuje też zarządzane komponenty aplikacyjne. Bezpieczeństwo przesuwa się ku walidacji zdarzeń, autoryzacji per funkcja, konfiguracji usług, łańcuchom dostaw i interfejsom dostawcy. Krótkie wykonanie i automatyczne skalowanie zmieniają scenariusze monitorowania, reagowania, dostępności i nadużyć kosztowych.
Najważniejsze punkty
Zdarzenia i tożsamośćUwierzytelniaj ścieżki wywołania, traktuj ładunki i metadane zdarzeń jako niezaufane, nadawaj każdej funkcji wąskie uprawnienia i ograniczaj dostęp do usług downstream oraz sieci.
Kod i konfiguracjaPrzeglądaj zależności i pakiety, trzymaj sekrety poza kodem i logami, oddzielaj środowiska, chroń potoki dostarczania oraz prowadź inwentarz funkcji, wyzwalaczy, warstw, wersji i nieużywanych punktów końcowych.
Obserwacja i odpornośćKoreluj zdarzenia wywołań, tożsamości, API i danych bez zatrzymywania niepotrzebnych ładunków; definiuj kontrole współbieżności, limitów czasu, ponowień, dead-letter i wydatków; oraz testuj złośliwe i nieudane zdarzenia.
Istotne ograniczenieServerless przenosi część eksploatacji infrastruktury, a nie rozliczalność za aplikację. Podatny kod, nadmierne uprawnienia, niebezpieczne zdarzenia, ujawnione sekrety i niezabezpieczone API pozostają ryzykiem klienta. Izolację dostawcy i widoczność runtime trudno zweryfikować, a szybkie skalowanie, ponowienia lub współdzielone zależności mogą wzmocnić wpływ na dostępność, koszty i odmowę usługi.