Serverless架构由于其便捷、弹性和低成本等特点，被越来越多的企业和开发者所采用。但是，随着其使用规模的增大，架构的安全性也成为了一个重要的问题。在这篇文章中，我们将探讨Serverless架构的安全性，并提供一些学习和指导的建议。
Serverless架构的安全与风险
Serverless架构的基本思想是将编写应用程序的工作从管理和维护硬件的工作中分离出来。这使得开发者可以更简单地构建、部署和管理应用程序，但同时也会导致新的安全风险。
1. 函数级别的访问控制
由于Serverless架构使用函数作为应用程序的基本构建块，因此函数级别的访问控制非常重要。这意味着，对于只有部分用户可用或需要保护的资源，必须确保只有授权的用户才能执行相应的函数。例如，针对一些敏感数据的读/write API必须受到限制，只有授权的用户才能访问。
2. 隔离性
由于Serverless架构是多租户的，这意味着许多不同的租户将共享相同的资源。鉴于这些，虽然可以使用容器将不同的租户隔离开来，但是是否足够严格的隔离仍然有待讨论。不过Amazon AWS Lambda等服务已经提供了各种隔离的选项。
3. 共享代码的安全性
Serverless架构构建在函数和组件的基础之上，这意味着开发者将使用许多不同的代码库和工具。这些库和工具可能同时用于其他应用程序，因此必须确保所使用的库和工具不会降低应用程序的安全性。
4. 资源利用过度
由于Serverless架构是基于按需计算的付费模型，这意味着如果有人发现了一个漏洞并且它可以被滥用，它可以给公司带来高昂的费用。此外，如果一个应用程序被黑客攻击，而无法及时停止或消耗应用程序资源的能力不足，则可能会导致应用程序瘫痪或停机。
Serverless架构的安全性最佳实践
为了确保Serverless架构的安全性，我们需要采取一系列最佳实践。
1. 遵循最小特权原则
对于Serverless架构，最小特权原则指只授权应用程序执行所需的最少权限。这意味着只有当需要访问资源时，函数才能够获得访问权限，而不是给予函数基于身份的访问权限。
以下是一个AWS S3的访问控制示例：
------ -----
--------- - ------------------
---------------------
-------------------
--------------------
-----------------------
--------------
-上述代码中，必须提供AWS S3的访问密钥和政策，以确保这个函数只有在执行时才能使用它。
2. 保持代码库的安全
要确保所使用的代码库和工具不会降低应用程序的安全性，最好始终使用最新版本的库和工具。同时，开发者还应该独立检查库和工具的代码，以确保它们是在安全的环境中构建的，并且没有被植入恶意代码。
3. 隔离函数
开发者应该使用密钥和秘密来隔离函数，以确保每个函数只能访问它需要的资源。这些密钥和秘密可以存储在应用程序配置中，而不是存储在代码库中。
以下是一个从AWS S3中检索对象的示例代码：
------ ----- --------- - ------------------ ---------------------------------------- --------------------
函数只能访问Bucket my-bucket的Object my-object-key，其他Bucket和Object都无法访问。这可以通过对IAM role进行配置来实现。
4. 应用请求速率限制
为了防止黑客的破坏和消耗，应用程序应该使用请求速率限制和反垃圾机制。例如，可以使用Amazon API Gateway限制每个IP的请求速率。
-------- -----
-----
------ -------- ----
-------- -------
--------- -------
--------
- -------
- ------
------
-------
----
--------------------------------
---------- ----
----------- -
----------
------
------------ ----
------------ --如上所示，Amazon API Gateway可以设置参数来限制每个IP地址的请求速率。这可以防止黑客使用大量请求来攻击应用程序。
结论
Serverless架构的安全性是一个重要的问题。在这篇文章中，我们讨论了安全风险以及一系列最佳实践来确保应用程序的安全性。对于Serverless架构的开发者，遵循最佳实践和使用AWS等提供的安全性功能可以确保应用程序的安全。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/67036ccdd91dce0dc84b7b3c