[CLOUD-001][입문] IaaS·PaaS·SaaS와 공동 책임 이해하기 > IT 기술 공유

• 목록

[이번 수업]

클라우드를 사용하면 서버실의 장비를 직접 다루는 일은 줄지만 모든 운영과 보안 책임이 사라지지는 않습니다. 이번에는 IaaS·PaaS·SaaS가 무엇을 제공하는지, 서비스 모델에 따라 사용자와 제공자의 책임 경계가 어떻게 달라지는지 배웁니다.

[선수지식]

CORE-008의 가상화 개념과 BACK-001의 서버 역할을 알면 좋습니다.

[학습목표]

1. IaaS·PaaS·SaaS의 차이를 설명할 수 있습니다.
2. 서비스 모델별 사용자 책임을 비교할 수 있습니다.
3. 요구사항에 맞는 모델을 선택하고 책임 체크리스트를 만들 수 있습니다.

[핵심개념]

클라우드 컴퓨팅은 네트워크를 통해 공유된 컴퓨팅 자원을 필요할 때 빠르게 할당하고 반납하는 방식입니다. NIST는 주문형 셀프서비스, 광범위한 네트워크 접근, 자원 공동 사용, 빠른 탄력성, 사용량 측정을 핵심 특성으로 정의합니다.

IaaS(Infrastructure as a Service, 인프라 서비스)는 처리 능력·저장소·네트워크 같은 기본 자원을 제공합니다. 사용자는 가상 서버에 운영체제와 애플리케이션을 설치하고 관리합니다. 운영체제 업데이트, 애플리케이션, 데이터, 계정과 일부 네트워크 설정 등 관리할 범위도 큽니다.

PaaS(Platform as a Service, 플랫폼 서비스)는 애플리케이션을 실행할 언어·라이브러리·도구와 호스팅 환경을 제공합니다. 사용자는 주로 자신이 배포한 코드, 데이터, 계정, 애플리케이션 설정을 관리하고 제공자는 기반 서버·운영체제·저장소를 관리합니다.

SaaS(Software as a Service, 소프트웨어 서비스)는 제공자가 운영하는 완성된 애플리케이션을 브라우저나 API로 사용합니다. 사용자가 기반 인프라와 앱 실행 환경을 관리하지 않는 대신, 계정·접근권한·사용자별 설정·저장할 데이터의 선택은 여전히 책임져야 합니다.

공동 책임(shared responsibility)이란 서비스 보안과 가용성을 제공자와 사용자가 나누어 맡는다는 뜻입니다. 관리형 서비스가 많아질수록 제공자 책임은 커지지만, 사용자는 항상 서비스가 요구사항에 맞는지 확인하고 안전하게 설정하며 어떤 데이터를 저장할지 결정해야 합니다. 정확한 경계는 상품 설명, 계약, 지원 범위에서 다시 확인해야 합니다.

[따라하기]

cloud_roles.py 파일에 아래 코드를 저장합니다. 실제 클라우드에 연결하지 않고 세 모델의 대표 책임을 비교합니다.

models = {
    "IaaS": {
        "provider": "physical hardware, virtualization",
        "customer": "OS, application, data, access, configuration",
    },
    "PaaS": {
        "provider": "hardware, virtualization, OS, runtime",
        "customer": "application code, data, access, app configuration",
    },
    "SaaS": {
        "provider": "infrastructure, platform, application operation",
        "customer": "data choice, users, access, service configuration",
    },
}

selected = "PaaS"
role = models[selected]
print("model:", selected)
print("provider:", role["provider"])
print("customer:", role["customer"])

Windows는 ‘py cloud_roles.py’, macOS·Linux는 ‘python3 cloud_roles.py’를 실행합니다. model: PaaS와 제공자·사용자 책임이 차례로 나오면 성공입니다. selected를 IaaS 또는 SaaS로 바꾸어 차이를 확인하세요. 이 표는 학습용 요약이며 실제 책임은 서비스 약관과 구성에 따라 달라집니다.

[흔한 실수]

클라우드에 저장했으니 자동으로 안전하거나 백업됐다고 가정하지 마세요. IaaS에서도 물리 장비는 제공자가 맡지만 게스트 운영체제와 앱 보안은 보통 사용자 몫입니다. SaaS에서도 잘못된 공유 권한과 약한 계정 보안은 사용자가 바로잡아야 합니다.

[보안 주의]

계정에는 다중요소인증과 최소 권한을 적용하고, 공개 저장소·방화벽·공유 링크 설정을 점검하세요. 코드에 비밀번호나 접근 키를 넣지 말고 데이터의 민감도와 저장 지역, 암호화, 로그, 백업·복구 방법을 도입 전에 확인합니다.

[직접 해볼 과제]

‘작은 팀이 API를 배포하되 운영체제 업데이트는 직접 하고 싶지 않다’는 상황에 맞는 모델을 하나 고르세요. 제공자 책임과 사용자 책임을 각각 세 가지 적고, 장애 시 복구 책임을 계약에서 확인해야 하는 이유도 한 문장으로 설명합니다.

[확인문제]

1. IaaS와 PaaS에서 사용자가 직접 관리하는 범위는 어떻게 다른가요?
2. SaaS를 사용해도 사용자에게 남는 책임은 무엇인가요?
3. 같은 PaaS라도 공식 책임 문서를 확인해야 하는 이유는 무엇인가요?

[다음 학습]

다음 게시 과정은 DEVOPS-001 ‘개발과 운영을 잇는 DevOps’입니다. CLOUD 트랙의 다음 단계는 CLOUD-002 ‘리전·가용영역·엣지’입니다.

[공식 참고 자료]

NIST SP 800-145 — 클라우드 컴퓨팅 정의
https://csrc.nist.gov/pubs/sp/800/145/final

NIST SP 800-144 — 퍼블릭 클라우드 보안·개인정보 지침
https://csrc.nist.gov/pubs/sp/800/144/final

영국 NCSC — 클라우드 보안 공동 책임 모델
https://www.ncsc.gov.uk/collection/cloud/understanding-cloud-services/cloud-security-shared-responsibility-model