第2章：云计算基础模型：IaaS、PaaS、SaaS 模型详解、各模型的安全责任边界、共享责任模型
聊云计算，绕不开这三个词：IaaS、PaaS、SaaS。
很多人刚接触时觉得这是概念堆砌。其实说白了，它们就是云服务的三种「交付方式」。你想想看，就像你去餐厅吃饭——你可以自己买菜自己做（自建机房），也可以点外卖（SaaS），也可以买半成品自己加工（PaaS），也可以租个厨房自己炒菜（IaaS）。
嗯，这个比喻虽然糙，但道理不糙。
2.1 三种模型，到底在说什么？
IaaS（基础设施即服务）
我给你服务器、网络、存储，剩下的你自己管。操作系统、中间件、应用、数据，全是你的活。
我在项目中遇到过一家创业公司，早期为了省钱选了某云的 IaaS。结果运维小哥天天半夜被叫起来打补丁，三个月瘦了十斤。后来他们切到了 PaaS，世界清净了。
IaaS 适合什么人？有专业运维团队、需要高度定制化环境的团队。说白了，你愿意自己折腾，就选它。
PaaS（平台即服务）
我给你运行时环境、数据库、中间件。你只管写代码、部署应用。
我个人习惯用 PaaS 做原型验证。为什么？快。你不需要关心底层补丁、不需要配置负载均衡，一行命令应用就跑起来了。
但注意，PaaS 不是万能的。我曾经踩过一个坑：某个 PaaS 平台对 Java 版本有限制，我们的老项目死活跑不起来。最后只能切回 IaaS 自己搭环境。
SaaS（软件即服务）
我给你完整的应用。你打开浏览器就能用。
典型的例子：企业微信、钉钉、Salesforce。你不需要装服务器，不需要写代码，甚至不需要知道它跑在哪台机器上。
我建议中小企业优先考虑 SaaS。为什么？省心。安全补丁、数据备份、高可用，全是服务商的事。你只管用。
2.2 安全责任边界：谁管什么？
这是整个云计算安全里最核心的问题。搞不清楚这个，出了事你都不知道该找谁。
核心原则：云厂商负责「云的安全」，客户负责「云中的安全」。
具体来说，责任边界取决于你选的服务模型：
| 服务模型 | 云厂商负责 | 客户负责 |
|---|---|---|
| IaaS | 物理安全、网络基础设施、虚拟化层 | 操作系统、中间件、应用、数据、访问控制 |
| PaaS | 物理安全、网络、虚拟化、操作系统、运行时环境 | 应用代码、数据、访问配置 |
| SaaS | 几乎全部（物理到应用层） | 数据分类、用户权限、终端安全 |
你看，模型越往上，客户要操的心越少。但注意，责任不是「甩锅」——你永远要对你的数据负责。
避坑指南：我曾经见过一个团队，用了 SaaS 就以为万事大吉。结果员工把公司数据下载到个人电脑上，然后电脑中了勒索病毒。数据全没了。找云厂商？人家说「数据在云端是安全的，但你下载到本地就不归我管了」。
嗯，这个锅，得自己背。
2.3 共享责任模型：一张图说清楚
共享责任模型，说白了就是「谁该干什么」的清单。AWS、Azure、阿里云都有各自的版本，但核心逻辑是一样的。
我习惯把它分成三层：
- 底层（云厂商全责）：物理机房、电力、空调、网络设备、虚拟化平台。这些你碰不到，也不需要碰。
- 中间层（责任共担）：身份认证、访问控制、网络隔离。云厂商提供工具，你来配置。比如安全组、IAM 策略。
- 上层（客户全责）：你的应用代码、业务数据、终端设备。这些云厂商完全不管。
我的经验：很多安全事件出在「中间层」。比如安全组配置错误，把数据库暴露到了公网。云厂商提供了防火墙，但你没开，那就是你的问题。
我建议每季度做一次「责任边界审计」。列个清单，逐项确认：这个安全配置是谁负责的？有没有遗漏？
2.4 实际场景：怎么选？怎么管？
假设你要部署一个 Web 应用：
- 选 IaaS：自己搭 Nginx、配置 SSL、打系统补丁、做备份。灵活，但累。
- 选 PaaS：上传代码，平台自动处理运行时环境。省心，但有平台锁定风险。
- 选 SaaS：直接用现成的 CMS 或低代码平台。最快，但定制能力有限。
我个人习惯是：核心业务用 IaaS 或 PaaS，非核心业务用 SaaS。为什么？核心业务需要控制权，非核心业务追求效率。
举个例子：公司的财务系统，我建议用 SaaS（比如用友、金蝶的云版本）。为什么？财务数据合规要求高，SaaS 厂商有专业团队帮你搞定审计、备份、加密。你自己搞，反而容易出纰漏。
但如果是公司的核心交易系统，我建议用 IaaS 或 PaaS。为什么？你需要控制每一层——从网络策略到数据库加密，从日志审计到容灾演练。这些在 SaaS 里你改不了。
一句话总结：
IaaS 给你自由，PaaS 给你效率，SaaS 给你省心。
安全责任不是「谁管得多谁就安全」，而是「谁该管的谁管好」。
嗯，这一章就到这里。下一章我们聊聊「云上身份与访问管理」——说白了，就是怎么管好「谁可以进、能干什么」。这是云安全的第一道门，也是最容易被忽视的门。