本文原文为英文How not to do XaaS? 作者于5月11日发表在EMC Community Network (EMC社区网络，见：https://community.emc.com/blogs/WenboMao/2010/05/11/how-not-to-do-xaas)
XaaS意思是在云计算中一切都是服务（Everything as a Service），而且服务是以按需租赁使用的方式来提供与消费的。举两个不太常见的例子：“安全作为服务”（Security as a Service），“平台证明作为服务”（Attestation as a Service）。其中“平台证明作为服务”是本人在上一篇博客里首次提出的一个概念（见：http://blog.csdn.net/wenbomao/archive/2010/04/25/5528159.aspx）。
XaaS很容易让人想到服务是被一个租客用户所消费。一个服务必须是对用户有价值才能吸引用户去消费。让我们来考虑“安全作为服务”的情况：设想一个服务是一种安全保障，让租客确信其信息在服务端接收处理时具有某种程度上的免除风险。我不禁要问这样的服务究竟会对租客产生多大价值来吸引消费。毫无疑问，一个成功的信息安全产品或解决方案可以具有很大价值，吸引用户购买该产品或方案作为资产来拥有。这是用户自己拥有IT资产的情况：为了保护好自有财产嘛，就在保护手段上花点钱吧。还不光是花钱问题，当安全作为财产时，用户要自己安装配制管理和检查安全措施，这些事常常是很复杂的。在云计算的情况，用户租用而不是拥有IT资源，信息处理任务也变成了服务。服务提供方和接受方要采用服务等级协议（Service Level Agreement, SLA）来约定服务的质量等级。信息安全的保障自然是SLA要包含的内容。所以当安全变成服务时，租客显然不再做哪些复杂的安装配制管理和检查安全措施了（谢天谢地！）。那么在这种情况下，“安全作为服务”还会对租客产生消费价值吗？我认为“安全作为服务”的消费价值会在SLA的保证之下大打折扣。
也许安全作为服务应该叫做“安全作为自我服务”(Security as Self-Service)才更有意义。所谓自我服务，就是不再向租客销售安全服务，而是自我消费安全服务。也就是云计算数据中心采用安全作为财产的方式，安装配制管理和检查安全措施，以保证租客信息的安全。云计算数据中心自我消费安全服务的结果是：服务提供方对于保护租客信息的安全信心大为增强，从而敢于签订具有高安全等级质量的SLA来吸引租客消费计算/存储等等其他服务。其实在提出“平台证明作为服务”（Attestation as a Service）时，我所定义的平台证明恰恰是本地证明（local attestation），这是由云计算数据中心在自身数据中心内部对计算/存储平台软件环境安全状况做验证工作。这的确是“平台证明作为自我服务”（Attestation as Self-Service）。这种自我服务不必在本地发生，比如平台软件环境安全状况的验证方是一个远端实体，但该远端实体一定不是一个计算/存储服务的消费方。因为消费方依赖SLA来保障安全会更有效，而不要自己参与十分复杂的安全事务管理。
更有意义的做法是把“安全作为自我服务”与“安全作为公共服务”（Security as a Public Service）结合起来。“安全作为公共服务”是由一个具有公信能力的组织机构提供的一项公共服务，这种服务能够对“安全作为自我服务”的提供方，即云计算服务商，产生强制约束作用，使后者向消费者提供的计算/存储服务具有可被监管、风险控制、规则遵从（Governance, Risk and Compliance, GRC）的性质。显然，像“安全作为自我服务”一样，这种“安全作为公共服务”也属于非售品。
本文小结：在云计算中“安全作为自我服务”与“安全作为公共服务”都是十分重要的云安全服务，但是租客不会以(按需)付费的方式来消费这种服务。所以云安全问题如果有技术解决方案，应该是如何用技术手段来确保SLA有效实施。