Sunucusuz fonksiyon izinleri, bir fonksiyonun (AWS Lambda, Azure Functions, Google Cloud Functions) çalışırken hangi bulut kaynaklarına erişebileceğini belirleyen yetki setidir. Fonksiyon bir yürütme rolü üstlenir ve bu role bağlı politikalar, kodun bir veritabanına yazıp yazamayacağını, bir kuyruktan okuyup okuyamayacağını ya da başka servisleri çağırıp çağıramayacağını tayin eder.

Sunucusuz fonksiyon izinleri, kısa ömürlü bir fonksiyonun yürütme sırasında üstlendiği ve yalnızca görevini yapmaya yetecek kadar dar tutulması gereken bulut yetkileridir.

İki Yönlü İzin Modeli

Sunucusuz izinleri iki ayrı yönde düşünmek gerekir. Yürütme rolü, fonksiyonun dışarıya doğru neye erişebildiğini belirler; kaynak tabanlı politika ise fonksiyonu kimin tetikleyebileceğini tanımlar. İkincisi sıkça ihmal edilir: bir API ağ geçidine, olay kaynağına ya da başka bir hesaba tetikleme izni gereğinden geniş verildiğinde, fonksiyon istenmeyen çağrılara açık kalır. Güvenli bir tasarım her iki yönü de daraltır.

Neden Fonksiyon Başına Rol?

Kolaylık uğruna birçok ekip tüm fonksiyonlara ortak, geniş kapsamlı bir rol atar. Bu, tek bir fonksiyondaki zafiyetin tüm ortamın yetkilerini ele geçirmesine yol açar. Doğru yaklaşım, her fonksiyona yalnızca kendi işine uygun ayrı bir rol vermektir. Bu ayrıştırma doğrudan En az yetki ilkesi uygulamasıdır ve olası bir ihlalin etki alanını tek fonksiyonla sınırlar.

Aşırı izinlerin tehlikesi somuttur: bulut kaynaklarına yazma yetkisi olan bir fonksiyon ele geçirildiğinde, saldırgan bu yetkileri kendi rolünü genişletmek için kullanabilir. IAM üzerinde iam:PassRole ya da politika düzenleme izinleri tanınmış bir fonksiyon, tüm hesabın yetki yükseltme merdivenine dönüşür. Bu yüzden yönetim düzeyi izinler fonksiyonlardan titizlikle uzak tutulmalıdır.

İzinleri Sürekli Denetlemek

Sunucusuz izinler zamanla “kayar”: test için verilen geniş yetkiler üretimde unutulur, kullanılmayan izinler birikir. Bulut sağlayıcılarının erişim analizcileri, gerçekte kullanılan çağrılarla verilen izinleri karşılaştırıp fazla yetkileri işaretler. Bu tür sürekli denetim, Bulut iş yükü koruma platformu araçlarının fonksiyon envanteriyle birleştiğinde daha etkilidir; kullanılmayan yetkiler düzenli olarak kırpılmalıdır.

İzin yönetimi, sunucusuz mimarinin genel savunmasının yalnızca bir parçasıdır; ortam değişkenlerinde saklanan sırlar, bağımlılık zafiyetleri ve olay verisi doğrulaması gibi başlıklarla birlikte ele alınmalıdır. Bu bütünsel bakışın çerçevesi Sunucusuz güvenlik başlığında toplanır. Privia Security fonksiyon rollerini, tetikleyici politikalarını ve yetki sapmalarını altyapı ve mimari gözden geçirme kapsamında bir arada değerlendirir.