Proč rozlišujeme IaaS, PaaS a SaaS
Cloud computing nabízí škálovatelnou a elastickou dodávku výpočetních zdrojů formou služby. Aby bylo možné porovnávat odpovědnosti, náklady a rizika, používá se členění na tři hlavní modely: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) a Software as a Service (SaaS). Každý model předává poskytovateli jinou část správy IT stacku a tím mění způsob, jak organizace plánuje architekturu, bezpečnost, provoz i rozpočty.
Základní charakteristika jednotlivých modelů
- IaaS: poskytuje virtualizovanou infrastrukturu (výpočet, úložiště, sítě). Zákazník spravuje OS, runtime, data a aplikace.
- PaaS: poskytuje běhové prostředí (runtime, databáze, integrační služby) nad skrytou infrastrukturou. Zákazník se soustředí na aplikace a data.
- SaaS: hotová aplikace dostupná přes web/API. Zákazník konfiguruje a spravuje data a uživatele, nikoli infrastrukturu či platformu.
IaaS: Infrastructure as a Service
IaaS poskytuje elastické VM, kontejnery, blokové/síťové/objektové úložiště, load balancery a software-defined networking. Umožňuje rychlé lift-and-shift migrace a granularitu řízení prostředí, podobnou on-premise.
- Výhody: flexibilita konfigurace, kontrola nad OS a middleware, vhodné pro legacy aplikace, přirozené prostředí pro distribuované systémy a Kubernetes (CaaS).
- Nevýhody: vyšší provozní náročnost (patching OS, zálohy, hardening), komplexní síťové a bezpečnostní řízení, riziko nepredikovatelných nákladů při špatném sizingu.
- Use-case: migrující ERP, datové platformy s vlastním DB enginem, specializované middlewary, sandboxy a testovací prostředí.
PaaS: Platform as a Service
PaaS abstrahuje OS a infrastrukturu. Nabízí spravované běhové služby (např. aplikační služby, spravované databáze, messaging, integrační a ML služby). Typicky přináší CI/CD integrace, automatické škálování a vestavěné monitorování.
- Výhody: rychlejší vývoj a nasazení, menší DevOps zátěž, automatický patching a vysoká dostupnost na úrovni služby, vestavěná bezpečnost (šifrování, identity, tajemství).
- Nevýhody: menší kontrola nad verzemi a konfigurací, opsec omezení (privátní sítě, peering), riziko vendor lock-in díky proprietárním API a službám.
- Use-case: moderní webové a mobilní aplikace, integrační rozhraní, event-driven architektury, data services s rychlým time-to-value.
SaaS: Software as a Service
SaaS dodává kompletní aplikaci jako službu (CRM, ERP, e-mail, spolupráce, ITSM, analytika). Uživatel řeší jen konfiguraci, správu identit, přístupů a životní cyklus dat.
- Výhody: nejrychlejší adopce, minimální správa IT, předvídatelné náklady za uživatele/objem, průběžné inovace.
- Nevýhody: omezené přizpůsobení core funkcí, závislost na roadmapě poskytovatele, náročnější integrace a governance dat, data residency otázky.
- Use-case: standardizované podnikové procesy, kancelářská produktivita, zákaznická podpora, marketingová automatizace.
Sdílený model odpovědnosti (Shared Responsibility)
Bezpečnost a compliance v cloudu jsou sdílené. Obecná zodpovědnost (zjednodušeno):
| Vrstva | IaaS | PaaS | SaaS |
|---|---|---|---|
| Fyzická infrastruktura, hypervisor | Poskytovatel | Poskytovatel | Poskytovatel |
| Síť, úložiště (správa platformy) | Poskytovatel | Poskytovatel | Poskytovatel |
| OS a runtime | Zákazník | Poskytovatel | Poskytovatel |
| Aplikace a konfigurace | Zákazník | Zákazník | Poskytovatel (core), zákazník (konfigurace) |
| Data, identita, přístupy | Zákazník | Zákazník | Zákazník |
| Compliance a governance | Společná | Společná | Společná |
Modely nasazení: veřejný, privátní, hybridní a multicloud
- Veřejný cloud: sdílená infrastruktura s logickým oddělením tenantů; rychlá škálovatelnost, bohatý ekosystém.
- Privátní cloud: vyhrazená infrastruktura (on-premise nebo hosted); vyšší kontrola, specifická compliance.
- Hybridní cloud: kombinace public + on-prem s propojenou sítí a identitou; pro plynulé migrace a práce s latencí/datovou lokalitou.
- Multicloud: využití více poskytovatelů pro mitigaci lock-in, odolnost a optimalizaci nákladů; roste komplexita řízení.
Nákladové modely a FinOps
- On-demand: platba za skutečné využití, flexibilní, ale nejdražší jednotkové náklady.
- Rezervace/commit: závazek na období (1–3 roky) za slevu; hodí se pro stabilní workloady.
- Spot/preemptible: výrazně levnější, ale přerušitelné instance pro odolné dávkové úlohy.
- FinOps praxe: tagování, rozpočty, showback/chargeback, automatizované vypínání, rightsizing, optimalizace egress nákladů.
Bezpečnost a compliance v praxi
- Identity & Access Management: princip nejmenších oprávnění, just-in-time přístupy, SSO a MFA.
- Šifrování: v klidu (KMS/HSM) i přenosu (TLS), správa klíčů, customer managed keys pro citlivá data.
- Segmentace sítě: privátní sub-sítě, zero-trust, WAF, DDoS ochrana, mikrosgmentace.
- Compliance: mapování na normy (např. ISO 27001, GDPR), data residency, auditovatelnost a evidence.
Data, integrace a uzamčení u dodavatele (lock-in)
- Portabilita: standardní formáty dat a API, twelve-factor aplikace, kontejnerizace, infrastrukturní kód.
- Integrace: event bus, spravované fronty, API gateway, ETL/ELT; sledovat náklady na egress.
- Lock-in: PaaS/SaaS přináší rychlost za cenu závislosti; řešením jsou abstrahované vrstvy, kontrakty a exit plan.
Observabilita a provoz
- Monitoring a logování: metriky, logy a trasy (tracing) napříč službami; centralizované korelace incidentů.
- SLA/SLO: definovat cíle dostupnosti, latence a chybovosti; error budgets pro řízení releasů.
- Automatizace: IaC (Terraform, Bicep, Pulumi), GitOps, politiky a guard-rails pro bezpečné nasazení.
Souslužby: CaaS, FaaS a serverless PaaS
- CaaS (Containers as a Service): spravovaná orchestrace (Kubernetes), vyrovnává kontrolu (IaaS) a pohodlí (PaaS).
- FaaS/Functions: spouštění funkcí na události bez správy serverů, platba za zpracování; vhodné pro event-driven a integrace.
- Serverless PaaS: databáze, messaging a fronty s automatickým škálováním a platbou dle využití.
Migrační strategie (6R) a modernizace
- Rehost (lift-and-shift): rychlé přesunutí na IaaS, bez větších změn.
- Replatform: dílčí úpravy, přechod na PaaS (např. spravovaná DB).
- Refactor: přepracování aplikací (mikroslužby, serverless) pro cloud-native.
- Repurchase: nahrazení on-prem aplikace SaaS produktem.
- Retire: vypnutí nepotřebných systémů.
- Retain: dočasné ponechání on-prem (regulace, latence, náklady).
Rozhodovací rámec: kdy zvolit IaaS, PaaS nebo SaaS
- SaaS: když proces odpovídá standardu trhu a klíčová je rychlost, nízká správa a TCO.
- PaaS: když vyvíjíte vlastní aplikace, chcete rychlé releasy a méně operativy, ale akceptujete omezení platformy.
- IaaS: když potřebujete maximální kontrolu, specifické verze/middleware, nebo migrujete legacy bez refaktoringu.
Praktická srovnávací tabulka
| Kritérium | IaaS | PaaS | SaaS |
|---|---|---|---|
| Time-to-value | Střední | Rychlé | Nejrychlejší |
| Kontrola nad prostředím | Vysoká | Střední | Nízká |
| Operační zátěž | Nejvyšší | Střední | Nejnižší |
| Přizpůsobení | Široké | Omezené platformou | Konfigurovatelné v rámci produktu |
| Riziko lock-in | Nižší (standardy) | Střední (platformní služby) | Vyšší (datový a procesní) |
| Compliance | Na zákazníkovi | Sdílené, jednodušší | Nejsnazší, ale méně volnosti |
Governance a provozní standardy
- Politiky: naming, tagování, sítě, identity, klíče a zálohy; policy-as-code.
- Životní cyklus dat: klasifikace, retence, archivace, právní požadavky (DLP, eDiscovery).
- BC/DR: RTO/RPO, georeplikace, testy obnovy, chaos engineering pro kritické služby.
Nejčastější chyby a jak se jim vyhnout
- Přenos on-prem praktik bez adaptace: ignorování ephemerality a autoscalingu.
- Nedostatečná observabilita: chybějící metriky/alerty vede k neviditelným incidentům a spirále nákladů.
- Bezpečnost až po nasazení: nezabudované IAM, šifrování a secrets management.
- Neřízené náklady: chybějící FinOps, nerespektování egress poplatků a rezervací.
- Ad-hoc multicloud: bez sjednocené identity, sítě a governance roste komplexita i riziko.
Kontrolní seznam před rozhodnutím
- Mapované požadavky byznysu, SLA/SLO, regulatorní omezení a datová lokalita.
- Architektonické patterny (monolit vs. mikroslužby), závislosti a integrační toky.
- Bezpečnostní model (IAM, šifrování, audit), plán BC/DR a test obnovy.
- Nákladový model, metriky a FinOps governance (tagy, rozpočty, alerty).
- Strategie portabilita/exit a prevence lock-in (standardní API, IaC, kontejnery).
Závěr: volba modelu jako strategické rozhodnutí
IaaS, PaaS a SaaS nepředstavují konkurenční, nýbrž komplementární přístupy. V praxi se kombinují – SaaS pro standardní procesy, PaaS pro rychlý vývoj a IaaS pro specifické či legacy workloady. Úspěch závisí na jasně definovaných cílech, správném modelu odpovědností, robustní bezpečnosti a průběžné optimalizaci nákladů. Dobře řízená kombinace modelů umožní doručovat hodnotu rychle, bezpečně a udržitelně.
