Technologie und Infrastruktur → Serverless-Ansatz und Funktionen

Serverless-Ansatz und Funktionen

1) Was ist serverless und wann wird es benötigt

Serverless ist ein Modell, bei dem die Cloud die Kontrolle über Server, Skalierung und Patches übernimmt und das Team Event-Handler schreibt und FaaS (Functions-as-a-Service) und BaaS (Managed Services: Warteschlangen, Datenbanken, Speicher) verwendet. Sie gewinnen an Liefergeschwindigkeit, zahlen für die tatsächliche Ausführung und skalieren „Brause“ -Lasten problemlos.

• PSP/KYC Webhooks (viele kurze Anfragen, unvorhersehbare Spitzen).
• Anti-Fraud/Scoring (Event-Funktionen, Enrichment, Feature Store).
• Berichterstattung/CDC → DWH (Batch- und Streaming-Verarbeitung).
• Marketing/CRM (Triggerereignisse, Flusen, Coupons, Segmentierung).
• Einfache Backend-APIs und Service-Aufgaben (Throttling, Cron-Funktionen).

• Eine konstant niedrige P99-Latenz (sub-10ms) ist ohne Schwankungen erforderlich.
• Langlebige Verbindungen/Protokolle (hochfrequente Echtzeit ohne Proxy).
• Große, stateful Berechnungen mit langer CPU/GPU und enge Kopplung.

2) Architektonische Bausteine

2. 1 FaaS

Ereignishandler: HTTP/API-Gateway, Warteschlangen, Streams, Timer, Objektspeicher, DB-Trigger.
Slim Start/Packaging: Schichten/Image-Funktionen, Aufwärmen.

2. 2 BaaS und Integrationen

Warteschlangen/Streaming (at-least-once), Pub/Sub für Domain-Events.
Speicher: Objekt (Rohstoffe/Artefakte), KV/Cache, Dokumente/Relation.
Orchestrierung: state machines/step functions, saga und compensation.
API-Gateway: Authentifizierung (OAuth/OIDC/HMAC), Limits, Transformationen.

2. 3 Netzwerkkontur

Öffentliche Front (Edge/API-Gateway) + private Funktionen im VPC für den Zugriff auf DB/Secrets/PSP.
Egress-Steuerung: allow-list zu PSP/KYC, feste NAT-IP.

3) Leistung: Kaltstart, Wettbewerb, Dauer

Kaltstart: Erster Start des Funktionscontainers nach Stillstand.
Mitigieren: Abhängigkeiten minimieren, „Aufwärmen“ (periodic invoke) verwenden, Funktionen in derselben Zone wie die Quellen halten, lange Timeouts vorsichtig anwenden.
Wettbewerb: Setzen Sie' max _ concurrency 'und Quelllimits (Warteschlangen/Gateway), um PSP/DB nicht zu „überfluten“.
Dauer der Ausführung: für lange Aufgaben - Aufteilung in Schritte + Orchestrierung (Step-Funktionen), für schwere Berechnungen - Batch/Container.

4) Zuverlässigkeit: idempotency, retrays, DLQ

Idempotenz: 'Idempotency-Key '/Deduplizierung am Empfang (Schlüssel + TTL-Speicher).
Retrays: exponentieller Backoff + Jitter, Grenzen der Versuche; Trennen Sie Geschäftsfehler (4xx) von temporären Fehlern (5xx/timeout).
DLQ (dead-letter queue): für Nachrichten, die nach N Versuchen nicht bestanden haben; Replay-Konsole und Tracing erforderlich.
Exactly-once (praktisch): Outbox/Inbox-Vorlagen, transaktionales Ereignisprotokoll.

5) Zustand und Orchestrierung

Ohne Status in der Funktion ist der Status in externen Speichern.
State machines: Zahlungs-/Auszahlungsschritte, KYC-Workflow, Betrugsbekämpfung; klares Fehler-/Kompensationsmodell.
Saga: „Reservieren → bestätigen → kompensieren“ beim Rollback.

6) Sicherheit und Compliance

IAM nach dem Prinzip der geringsten Privilegien: Rollen per-Funktion, Scoping an der Reihe/Baquets/Tabellen.
Secrets: Secret Manager/KMS, Rotation, HSM-Ebene für Schlüssel.
mTLS/HMAC für Webhooks, Körpersignatur, Zeitfenster ± 5 min.
Eingebauter WAF/Bot-Schutz am API-Gateway, Rate-Limits/Quotas.
Segmentierung: Prod/Stage, Service-Konten, private Subseets.
PII/PCI: PAN-Tokenisierung, Logmaskierung, „Datenminimierung“.
Audit: Unveränderliche Protokolle (WORM), Call Tracing, regulatorische Speicherung.

7) Beobachtbarkeit und Qualitätskontrolle

Metriken: RPS, P50/P95/P99, Codefehler, Dauer, Kaltstarts, Retraypipeline, DLQ-Größe.
Tracing (OTel): Korrelation von 'trace _ id' durch das Gateway → → Warteschlangenfunktion → DB/PSP; obligatorische Etiketten „api _ version“, „region“, „partner“.
Protokolle: strukturiert, mit PII-Maskierung.
Alerts durch Symptome: Burn-Rate SLO, Retracement Wachstum, P99 Schwanz.
Synthetik: Kontrollen aus den Zielländern (TR/BR/EU), Nachahmung von Webhooks.

8) FinOps und Kosten

Bezahlen Sie „für Anrufe und Millisekunden“. Tracking: Häufigkeit der Starts, Dauer, Speicher, Verkehr.
Profilieren Sie heiße Pfade: Nehmen Sie schwere Abhängigkeiten in die Ebene/das Bild, zwischenspeichern Sie Verbindungen.
Halten Sie Fan-Outs (massive parallele Herausforderungen) mit Limits und Batching zurück.
Erkennen Sie „Leaks“: endlose Retrays, Nachrichten in DLQ ohne Verarbeitung.
Planen Sie Spitzenfenster (Turniere/Events) - vorausschauendes Aufwärmen und Quoten.

9) CI/CD und Versionierung

IaC: Terraform/CloudFormation/SAM/CDK - Vorlagen für Funktionen, Warteschlangen, Rechte, Gateways.
Batching: Lock-Dateien von Abhängigkeiten, minimale Bild/Ebenen.
Tests: Vertragstests (OpenAPI/gRPC), Integration mit lokalem Rantime, Idempotenztests.
Deploy: kanarisch/blau-grün, Feature-Flags, schnelles Rollback.
API-Versionierung: '/vN/' oder Mediatypen; Deprecation/Sunset und Kompatibilität der Ereignisschemata.

10) Muster für iGaming/Fintech

Zahlungen/Schlussfolgerungen Webhooks: Annahme → Validierung der Signatur → Idempotenz → Veröffentlichung des Ereignisses' payout. updated '→ Orchestrierung von Wallet-Updates/Berichten.
Anti-Fraud-Scoring: Funktion-Enricher (IP/Device/Geo/History), asynchrone Lösung, Timeouts und Fallback-Strategien.
KYC/AML-Pipeline: parallele Prüfungen (Dokumente, Sanktionen, PEP), Aggregation der Ergebnisse, Sagas für wiederholte Anfragen.
Turniere/Ranglisten: Rundenereignisse → Streaming-Aggregation → Aktualisierung der Ranglisten, TTL-Cache zum Lesen.
Berichterstattung an die Regulierungsbehörden: CDC → Funktionen zur Umwandlung → Schaufensterdekoration in DWH, SLA zur Datenfrische.
Marketing/CRM: Verhaltensauslöser → Coupons/Puschen, Deduplizierung und Benutzerlimits.

11) Beispiele für Fragmente

11. 1 Idempotente Aufnahme eines Webhooks (Pseudocode)

python def handler(event):
assert verify_hmac(event. headers, event. body, secret)
key = f"idemp:{event. headers['Idempotency-Key']}"
if kv. exists(key):
return kv. get (key) # repeat - give the same result result = process (event. body) # public event, state record kv. set(key, result, ttl=86400)
return result

11. 2 Orchestrierung von Auszahlungen (State Machine, Idee)

1. 'validate _ request' → 2) 'lock _ balance' → 3) 'call _ psp' (mit Retrays) →

2. 'await _ webhook' (Timeout → Kompensation) → 5) 'finalize/notify'.

12) Serverless Implementierung Checkliste

1. Ereignisquellen und Vertragsvereinbarungen (Schemata/Versionen) sind definiert.
2. Wettbewerbslimits und „sorgfältige“ Retrays sind eingerichtet, es gibt DLQ und Replay.
3. Private Netzwerke/VPC, egress-allow-list, feste IP zu PSP sind enthalten.
4. IAM nach dem Prinzip der geringsten Privilegien, Geheimnisse im KMS/Secret Manager.
5. Observability: OTel-Trace, Dashboards nach P99/Fehler/Kaltstart.
6. FinOps: Budgets, Kosten-Alerts, Dauer/Speicher-Kontrolle.
7. CI/CD: canary/blue-green, autotests of contracts/idempotence.
8. Dokumentation: DevPortal/Postman Sammlungen, Beispiele für payload's, Deprecation/Sunset.

13) Anti-Muster

„Dicke“ Funktionen mit einer Reihe von Abhängigkeiten → langsame Kaltstarts.
Keine Idempotenz und Signatur von Webhooks → Duplikate/Betrug.
Fan-Aus ohne Grenzen → Sturm der Konkurrenz, Drosseln beim Anbieter.
Logik in Timern/Kronen ohne Trace/Alert → „stille“ SLA-Dips.
Mischen von Prod-Secrets in Umgebungsvariablen ohne Verschlüsselung.
Veranstaltungsverträge ohne Schema Registry und Kompatibilitätsregeln.

14) Das Ergebnis

Serverless ist ein ereignisorientiertes Cloud-Betriebssystem: Sie konzentrieren sich auf Geschäftslogik und Skalierung und Infrastruktur sind „on demand“. Verbinden Sie FaaS + Managed Services, fügen Sie Idempotenz, Orchestrierung und Beobachtbarkeit hinzu, disziplinieren Sie die Kosten - und erhalten Sie eine Plattform, die Spitzenwerten standhält, sich schnell weiterentwickelt und wirtschaftlich bleibt.