Proč rozlišujeme IaaS, PaaS a SaaS
Cloud computing nabízí škálovatelnou a elastickou dodávku výpočetních zdrojů formou služby. Aby bylo možné porovnávat odpovědnosti, náklady a rizika, používá se členění na tři hlavní modely: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) a Software as a Service (SaaS). Každý model předává poskytovateli jinou část správy IT stacku a tím mění způsob, jak organizace plánuje architekturu, bezpečnost, provoz i rozpočty.
Základní charakteristika jednotlivých modelů
- IaaS: poskytuje virtualizovanou infrastrukturu (výpočet, úložiště, sítě). Zákazník spravuje OS, runtime, data a aplikace.
- PaaS: poskytuje běhové prostředí (runtime, databáze, integrační služby) nad skrytou infrastrukturou. Zákazník se soustředí na aplikace a data.
- SaaS: hotová aplikace dostupná přes web/API. Zákazník konfiguruje a spravuje data a uživatele, nikoli infrastrukturu či platformu.
IaaS: Infrastructure as a Service
IaaS poskytuje elastické VM, kontejnery, blokové/síťové/objektové úložiště, load balancery a software-defined networking. Umožňuje rychlé lift-and-shift migrace a granularitu řízení prostředí, podobnou on-premise.
- Výhody: flexibilita konfigurace, kontrola nad OS a middleware, vhodné pro legacy aplikace, přirozené prostředí pro distribuované systémy a Kubernetes (CaaS).
- Nevýhody: vyšší provozní náročnost (patching OS, zálohy, hardening), komplexní síťové a bezpečnostní řízení, riziko nepredikovatelných nákladů při špatném sizingu.
- Případy využití: migrující ERP, datové platformy s vlastním DB enginem, specializované middlewary, sandboxy a testovací prostředí.
PaaS: Platform as a Service
PaaS abstrahuje OS a infrastrukturu. Nabízí spravované běhové služby (např. aplikační služby, spravované databáze, messaging, integrační a ML služby). Typicky přináší CI/CD integrace, automatické škálování a vestavěné monitorování.
- Výhody: rychlejší vývoj a nasazení, nižší DevOps zátěž, automatický patching a vysoká dostupnost na úrovni služby, vestavěná bezpečnost (šifrování, identity, tajemství).
- Nevýhody: menší kontrola nad verzemi a konfigurací, opsec omezení (privátní sítě, peering), riziko vendor lock-in díky proprietárním API a službám.
- Případy využití: moderní webové a mobilní aplikace, integrační rozhraní, event-driven architektury, datové služby s rychlým time-to-value.
SaaS: Software as a Service
SaaS dodává kompletní aplikaci jako službu (CRM, ERP, e-mail, spolupráce, ITSM, analytika). Uživatel řeší jen konfiguraci, správu identit, přístupů a životní cyklus dat.
- Výhody: nejrychlejší adopce, minimální správa IT, předvídatelné náklady za uživatele/objem, průběžné inovace.
- Nevýhody: omezené přizpůsobení základních funkcí, závislost na roadmapě poskytovatele, náročnější integrace a governance dat, otázky data residency.
- Případy využití: standardizované podnikové procesy, kancelářská produktivita, zákaznická podpora, marketingová automatizace.
Sdílený model odpovědnosti (Shared Responsibility)
Bezpečnost a compliance v cloudu jsou sdílené. Obecná zodpovědnost (zjednodušeno):
| Vrstva | IaaS | PaaS | SaaS |
|---|---|---|---|
| Fyzická infrastruktura, hypervisor | Poskytovatel | Poskytovatel | Poskytovatel |
| Síť, úložiště (správa platformy) | Poskytovatel | Poskytovatel | Poskytovatel |
| OS a runtime | Zákazník | Poskytovatel | Poskytovatel |
| Aplikace a konfigurace | Zákazník | Zákazník | Poskytovatel (základní), zákazník (konfigurace) |
| Data, identita, přístupy | Zákazník | Zákazník | Zákazník |
| Compliance a governance | Společná | Společná | Společná |
Modely nasazení: veřejný, privátní, hybridní a multicloud
- Veřejný cloud: sdílená infrastruktura s logickým oddělením tenantů; rychlá škálovatelnost, bohatý ekosystém.
- Privátní cloud: vyhrazená infrastruktura (on-premise nebo hosted); vyšší kontrola, specifické požadavky na compliance.
- Hybridní cloud: kombinace public + on-prem s propojenou sítí a identitou; vhodné pro plynulé migrace a práci s latencí/datovou lokalitou.
- Multicloud: využití více poskytovatelů pro snížení lock-in, zvýšení odolnosti a optimalizaci nákladů; zvyšuje komplexitu řízení.
Nákladové modely a FinOps
- On-demand: platba za skutečné využití, flexibilní, ale s nejvyššími jednotkovými náklady.
- Rezervace/závazek: závazek na delší období (1–3 roky) s výraznou slevou; vhodné pro stabilní zátěže.
- Spot/preemptible instance: výrazně levnější, ale přerušitelné instance pro odolné dávkové úlohy.
- FinOps praxe: tagování, rozpočty, showback/chargeback, automatizované vypínání, rightsizing, optimalizace nákladů na odchozí data (egress).
Bezpečnost a compliance v praxi
- Identity & Access Management: princip minimálních oprávnění, just-in-time přístupy, SSO a MFA.
- Šifrování: dat v klidu (KMS/HSM) i při přenosu (TLS), správa klíčů, customer managed keys pro citlivá data.
- Segmentace sítě: privátní sub-sítě, zero-trust přístup, WAF, DDoS ochrana, mikrosgmentace.
- Compliance: mapování na normy (např. ISO 27001, GDPR), otázky data residency, auditovatelnost a evidenční záznamy.
Data, integrace a uzamčení u dodavatele (lock-in)
- Portabilita: standardní formáty dat a API, twelve-factor aplikace, kontejnery, infrastrukturní kód.
- Integrace: event bus, spravované fronty, API gateway, ETL/ELT; sledování nákladů na odchozí přenos dat.
- Lock-in: PaaS a SaaS přinášejí rychlost za cenu závislosti; vhodným řešením jsou abstraktní vrstvy, smluvní podmínky a exit plan.
Observabilita a provoz
- Monitoring a logování: metriky, logy a trasování (tracing) napříč službami; centralizovaná korelace incidentů.
- SLA/SLO: definice cílů dostupnosti, latence a chybovosti; error budgets pro správu releasů.
- Automatizace: IaC (Terraform, Bicep, Pulumi), GitOps, politiky a guard-rails pro bezpečné nasazení.
Souslužby: CaaS, FaaS a serverless PaaS
- CaaS (Containers as a Service): spravovaná orchestrace (Kubernetes), kombinuje kontrolu IaaS a komfort PaaS.
- FaaS/Functions: spuštění funkcí na události bez správy serverů, platba za zpracování; vhodné pro event-driven architektury a integrace.
- Serverless PaaS: databáze, messaging a fronty s automatickým škálováním a platbou podle využití.
Migrační strategie (6R) a modernizace
- Rehost (lift-and-shift): rychlé přesunutí na IaaS bez významných změn.
- Replatform: částečné úpravy aplikací, přechod na PaaS (např. spravované databáze).
- Refactor: přepracování aplikací na mikroslužby či serverless model pro cloud-native přístup.
- Repurchase: nahrazení on-premises aplikace SaaS řešením.
- Retire: deaktivace nepotřebných systémů.
- Retain: dočasné ponechání on-prem řešení (např. z důvodu regulace, latence nebo nákladů).
Rozhodovací rámec: kdy zvolit IaaS, PaaS nebo SaaS
- SaaS: pokud proces odpovídá standardu trhu a klíčová je rychlost, nízká správa a nízké TCO.
- PaaS: pokud vyvíjíte vlastní aplikace, potřebujete rychlé releasy a minimální operativu, ale akceptujete omezení platformy.
- IaaS: pokud potřebujete maximální kontrolu, specifické verze/middleware nebo migrujete legacy aplikace bez refaktoringu.
Praktická srovnávací tabulka
| Kritérium | IaaS | PaaS | SaaS |
|---|---|---|---|
| Time-to-value | Střední | Rychlé | Nejrychlejší |
| Kontrola nad prostředím | Vysoká | Střední | Nízká |
| Operační zátěž | Nejvyšší | Střední | Nejnižší |
| Přizpůsobení | Široké | Omezené platformou | Konfigurovatelné v rámci produktu |
| Riziko lock-in | Nižší (standardy) | Střední (platformní služby) | Vyšší (datový a procesní) |
| Compliance | Na zákazníkovi | Sdílené, jednodušší | Nejsnazší, ale méně volnosti |
Governance a provozní standardy
- Politiky: pojmenování, tagování, sítě, identity, správa klíčů a zálohy; policy-as-code.
- Životní cyklus dat: klasifikace, retence, archivace, právní požadavky (DLP, eDiscovery).
- BC/DR: RTO/RPO, georeplikace, testy obnovy, chaos engineering pro kritické služby.
Nejčastější chyby a jak se jim vyhnout
- Přenos on-premises praktik bez adaptace: ignorování ephemeralních vlastností a autoscalingu.
- Nedostatečná observabilita: chybějící metriky a alerty vedou k neviditelným incidentům a spirále rostoucích nákladů.
- Bezpečnost řešená až po nasazení: nezahrnutí IAM, šifrování a správy tajemství od počátku.
- Neřízené náklady: absence FinOps, ignorování poplatků za odchozí data a nevyužívání rezervací.
- Ad-hoc multicloud: bez sjednocené identity, sítě a governance roste komplexita i riziko.
Kontrolní seznam před rozhodnutím
- Mapování byznysových požadavků, SLA/SLO, regulatorních omezení a datové lokality.
- Architektonické vzory (monolit vs. mikroslužby), závislosti a integrační toky.
- Bezpečnostní model (IAM, šifrování, audit), plán BC/DR a test obnovy.
- Nákladový model, metriky a FinOps governance (tagy, rozpočty, alerty).
- Strategie portability a prevence lock-inu (standardní API, IaC, kontejnery).
Závěr: volba modelu jako strategické rozhodnutí
IaaS, PaaS a SaaS nepředstavují konkurenční, nýbrž komplementární přístupy. V praxi se často kombinují – SaaS pro standardní procesy, PaaS pro rychlý vývoj a IaaS pro specifické či legacy workloady. Úspěch závisí na jasně definovaných cílech, správném modelu odpovědnosti, robustní bezpečnosti a průběžné optimalizaci nákladů. Dobře řízená kombinace modelů umožní dodávat hodnotu rychle, bezpečně a udržitelně.
