常被並列的 SaaS IaaS PaaS，是三種雲端服務模式，差別在於企業要自己管理到哪一層：IaaS（基礎設施即服務）租用運算、儲存與網路資源，作業系統以上自己管理；PaaS（平台即服務）由服務商提供執行環境，企業只部署與管理自己的應用程式；SaaS（軟體即服務）直接使用服務商的應用程式，只能調整有限的設定。越往 SaaS 走，維運負擔越輕，能控制的範圍也越小；不論選哪一種，資料、帳號與存取權限仍是企業自己的責任。
依 NIST 定義看三種服務模式
美國國家標準與技術研究院（NIST）的雲端運算定義列出三種服務模式，區分的關鍵是「使用者能控制什麼」：
- IaaS（Infrastructure as a Service）：使用者取得處理能力、儲存、網路等基礎運算資源，可以部署與執行任意軟體，包括作業系統與應用程式。底層雲端基礎設施不由使用者管理，但作業系統、儲存與部署的應用程式由使用者控制，部分網路元件例如主機防火牆，也可能擁有有限的控制權。
- PaaS（Platform as a Service）：使用者把自己開發或取得的應用程式部署到雲端，程式使用服務商支援的程式語言、函式庫、服務與工具。網路、伺服器、作業系統與儲存不由使用者管理，使用者控制部署的應用程式，也可能可以調整執行環境的設定。
- SaaS（Software as a Service）：使用者透過瀏覽器等用戶端或程式介面使用服務商的應用程式，連個別功能都不由使用者控制，頂多能調整有限的個人化設定。
中文常把三者譯為基礎設施即服務、平台即服務、軟體即服務，合稱雲端運算服務模式；英文資料裡的 cloud iaas、cloud saas，指的也是這組分類。
責任分工比較：誰管主機、系統、程式與資料
| 管理項目 | 自建機房 | IaaS | PaaS | SaaS |
|---|---|---|---|---|
| 機房、實體伺服器與網路設備 | 企業 | 服務商 | 服務商 | 服務商 |
| 作業系統與修補更新 | 企業 | 企業 | 服務商 | 服務商 |
| 執行環境與中介軟體 | 企業 | 企業 | 服務商提供，企業可能可調整部分設定 | 服務商 |
| 應用程式與程式碼 | 企業 | 企業 | 企業 | 服務商 |
| 應用程式內的設定 | 企業 | 企業 | 企業 | 企業可調整有限設定 |
| 資料、帳號與存取權限 | 企業 | 企業 | 企業 | 企業 |
表格的劃分依據 NIST 對各模式「使用者控制範圍」的描述。Microsoft 的共同責任說明也指出，在自有資料中心時企業擁有整個堆疊，轉向雲端後部分責任才轉到服務商；而不論哪一種部署，客戶都要負責資料、存取服務的裝置、使用者帳號與存取控制。實際分工仍以合約與服務說明為準，同一家服務商的不同產品，界線也可能不同。
用架一個官網來比較三種做法
- 用 IaaS：租一台雲端虛擬機，自己安裝作業系統更新、網站伺服器軟體、資料庫與內容管理系統，再設定防火牆、備份與監控。彈性高，但每一層的更新與資安都要有人負責。
- 用 PaaS：把網站程式部署到服務商的應用程式平台，作業系統與基礎設施的維護交給平台，團隊專心在程式與內容；程式要符合平台支援的語言、工具與部署方式。
- 用 SaaS：使用全代管建站平台，在後台套用版型、編輯內容就能上線，不必碰主機；功能與版面以平台開放的範圍為限，日後搬離時要確認內容能帶走多少。
同一個需求，三種做法的差別不在網站長什麼樣子，而在團隊要投入多少技術維運，以及日後想改功能時握有多少自主權。若內部沒有人能處理伺服器更新與資安事件，選 IaaS 之前要先安排好維運人力或委外對象。
企業各自適合哪一種服務模式
- 適合 SaaS：信箱、協作、會計、客服等通用流程，沒有專職技術人員，希望開通後就能使用。SaaS 的辨識方式與導入判斷，可參考SaaS 的意思與客製開發怎麼選。
- 適合 PaaS：有自己開發的網站或系統、有工程師維護程式，但不想管作業系統與伺服器；需要依流量調整資源的應用也可以評估。
- 適合 IaaS：需要特定作業系統或軟體版本、要搬移既有伺服器上的系統，或對網路與安全設定有細部要求，而且有人能負責系統管理。
不少企業會三種並用：通用工作用 SaaS，自行開發的系統放在 PaaS，少數需要完整控制的服務跑在 IaaS。判斷時逐層問「這一層我們有人能管嗎」，答不出來的那一層，就適合交給服務商。
和虛擬主機、VPS 的關係
主機方案的名稱和服務模式不是一對一對應，判斷方式同樣是看誰管到哪一層。可以取得作業系統管理權限、自行安裝軟體的 VPS 與雲端虛擬機，在分工上接近 IaaS；共用虛擬主機由主機商管理伺服器與執行環境，使用者只上傳網站程式與資料，分工上有點像 PaaS，但不一定具備雲端服務隨需自助開通、資源彈性擴充這些特徵。各類主機的資源分配與維護差異，可參考虛擬主機與 VPS 的比較。
換主機類型時，責任也會跟著移動：從共用虛擬主機改用雲端虛擬機，作業系統更新、備份與監控會轉到企業端；改用 SaaS 建站平台，則要先確認既有內容能否匯入、舊網址如何轉址。
服務模式和部署模式不要混淆
公有雲、私有雲這些詞說的是「部署模式」，和 IaaS、PaaS、SaaS 是不同面向的分類。NIST 列出四種部署模式：
- 私有雲：由單一組織專用，可以由組織自己、第三方或兩者共同管理，設施可在組織內部或外部。
- 社群雲：由有共同關注事項的特定組織社群專用，例如相同的任務、資安要求、政策或法遵考量。
- 公有雲：開放一般大眾使用，設施位於雲端服務商的場所。
- 混合雲：由兩種以上不同的雲端基礎設施組成，彼此仍是獨立實體，透過技術結合，讓資料與應用程式可以移轉。
因此「私有雲上的 PaaS」「公有雲上的 SaaS」都是成立的組合。和服務商討論時，先確認對方說的是服務模式還是部署模式，再比較方案內容。
選擇雲端服務前要確認的事
- 列出要放上雲端的系統與資料，標記哪些含個資或營業機密。
- 依責任分工表，寫下每一層由誰負責更新、備份、監控與資安事件通報。
- 確認帳號架構：管理員帳號由公司持有、啟用多重要素驗證、權限依角色分配。
- 確認資料存放位置與匯出方式，以及終止服務時資料如何取回與刪除。
- 確認計費方式是固定方案、依人數訂閱，還是依資源用量計算；依用量計算的服務，記得設定用量或費用警示。
常見問題
IaaS、PaaS、SaaS 哪一種比較安全？
沒有哪一種天生比較安全，差別在責任分工。越往 IaaS 走，企業要自己處理的作業系統更新與設定越多；越往 SaaS 走，企業能控制的範圍越小。不論哪一種，帳號與權限管理都要由企業做好。
雲端主機算是 IaaS 嗎？
可以自行開通與調整規格、取得作業系統管理權限並安裝軟體的雲端虛擬機，屬於 IaaS 的範疇。名稱掛著雲端的方案很多，實際以能控制的層級與服務條款判斷。
用了 PaaS 還需要工程師嗎？
需要。PaaS 省下的是作業系統與伺服器管理，應用程式的開發、測試、部署與程式本身的資安修補仍由使用者負責，程式也要符合平台支援的語言與工具。
SaaS 的資料可以搬到自己的主機嗎？
要看服務提供的匯出功能與格式。導入前先確認能匯出哪些資料、匯出後能否被其他系統讀取，並保留欄位說明，日後搬移時才不會只剩無法使用的檔案。
中小企業需要了解這三種模式嗎？
不必深入技術細節，但值得知道自己用的每套服務屬於哪一種，因為這決定了更新、備份與資安由誰負責。簽約或更換廠商時，用這個分類確認雙方分工即可。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先盤點正在使用與打算上雲的系統，依責任分工表標出每一層由誰負責，找出沒有人管的空缺。京采的網頁設計服務可以協助官網與客製系統的架構規劃，評估適合的主機與雲端服務模式，並支援上線部署、網域與主機設定；想確認目前的分工有沒有缺口，歡迎與我們聯繫。
