Serverless, Edge Workers, Functions και Event-Driven Cloud Security — DedSec Project
Serverless, Edge Workers, Functions και Event-Driven Cloud Security Ελληνική έκδοση — Μάθημα 104. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην…
Ελληνική έκδοση — Μάθημα 104. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην αναζήτηση.
Στόχος του μαθήματος
Να κατανοήσεις σε βάθος το Serverless, Edge Workers, Functions και Event-Driven Cloud Security, να αναγνωρίζεις trust boundaries και failure states και να μπορείς να αποδείξεις ένα συμπέρασμα με ασφαλές, επαναλήψιμο evidence.
Βαθιές τεχνικές έννοιες
1. Invocation surface
Serverless function μπορεί να ενεργοποιείται από HTTP, queue, storage event, scheduler ή cloud control event. Κάθε trigger χρειάζεται authenticated source, schema validation και resource limits.
2. Execution identity
Η function τρέχει με workload identity/service role που συχνά έχει περισσότερα permissions από το request caller. Δώσε least privilege ανά function και μη χρησιμοποιείς ένα shared broad role για όλο το application.
3. Event trust
Event payload και metadata είναι untrusted input ακόμη αν έρχονται από cloud service. Validate tenant/resource, event type, version και replay/idempotency state πριν από side effects.
4. Ephemeral runtime
Instances είναι short-lived αλλά μπορεί να επαναχρησιμοποιούνται, με /tmp, memory ή connections να παραμένουν μεταξύ invocations. Μην υποθέτεις fresh process για secret/data isolation.
5. Secrets
Χρησιμοποίησε managed secret/KMS integration και short-lived identity αντί για secrets μέσα σε package ή environment dumps. Limit which function/version can retrieve each secret.
6. Dependency packaging
Function packages και layers είναι supply-chain artifacts. Pin/scan dependencies, verify provenance και μην αφήνεις mutable external download να αλλάζει runtime code μετά approval.
7. Edge execution
Edge workers τρέχουν κοντά στον user και συχνά χειρίζονται headers, auth, cache και routing. Είναι application boundary και χρειάζονται isolation, versioned deploy και secret restrictions.
8. Observability and cost abuse
Rate, duration, concurrency, downstream calls και errors είναι security/cost signals. Budget/quotas και alarms προστατεύουν από resource abuse χωρίς να βασίζονται μόνο σε autoscaling.
Καθοδηγούμενο εργαστήριο
- Model one photo-processing function triggered by object storage and identify what prevents another tenant/object path from being processed — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Write an IAM policy matrix for three functions that each need different storage/database actions — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Create a replay/idempotency test plan for a harmless event-driven workflow — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.