Platform as a Service (PaaS)

Команда передаёт платформе код или готовый образ приложения, задаёт параметры запуска и получает работающий сервис. Ей не нужно самостоятельно устанавливать систему на каждый сервер. При этом права пользователей, содержимое приложения и доступность его данных остаются самостоятельными задачами.

Название PaaS описывает способ предоставления услуги, а не готовый уровень защищённости. Конкретные возможности, ограничения и обязанности сторон нужно проверять в документации выбранной платформы.

PaaS применяют для веб-приложений, внутренних сервисов и API, когда важнее быстро выпускать версии, чем управлять серверами. Перед переносом определяют поддерживаемую среду, сетевые подключения, способы получения секретов и возможность выгрузить данные при смене провайдера.

В ИБ проверяют, кто может менять приложение и его настройки, как выполняется обновление зависимостей, какие события доступны для расследования и как восстанавливается сервис. Управление платформой со стороны провайдера не устраняет уязвимости клиентского кода и ошибки прав доступа.

Например, команда переносит внутренний портал на управляемую платформу. Сервисная учётная запись сборочного конвейера получает право обновлять только этот портал. Пароль к базе передают через механизм секретов, а административный интерфейс не делают общедоступным.

Перед запуском команда проверяет, что посторонний пользователь не может прочитать документы, старую версию можно восстановить, а журнал содержит изменения настроек. Обновление серверной ОС выполняет провайдер — в пределах условий услуги.

• IaaSКлиент получает вычислительные и сетевые ресурсы и обычно сам управляет гостевой ОС. В PaaS эту часть работы выполняет провайдер.
• SaaSПользователь работает с готовым приложением поставщика. В PaaS клиент развёртывает собственное приложение в предоставленной среде.
• VPCVPC задаёт сетевую среду облачных ресурсов. PaaS — модель услуги; возможность подключить её к VPC зависит от конкретного продукта.

1. Выбрать средуПроверяют поддерживаемые языки или образы, ограничения запуска, размещение данных и необходимые подключения.
2. Настроить доступРазделяют права администраторов и конвейера выпуска, подключают секреты, ограничивают административные и сетевые интерфейсы.
3. Развернуть приложениеПередают подготовленную версию, задают параметры и проверяют запуск, аутентификацию и доступ к зависимым сервисам.
4. Контролировать эксплуатациюСледят за ошибками и изменениями, обновляют приложение и библиотеки, проверяют резервирование и процедуру отката.

• Курсы DevSecOps: безопасный выпуск приложенийКурсы

• Виртуальная частная облачная сеть (VPC)