استراتيجيات السحابة المتعددة مع Azure

تعني السحابة المتعددة تشغيل أعباء العمل عبر أكثر من موفر سحابي واحد — فعلى سبيل المثال، استخدام Azure لمعظم الخدمات، مع استخدام AWS لمنصة تعلّم آلي محددة، أو Google Cloud لتحليلات BigQuery. تعتمد المؤسسات السحابة المتعددة من أجل: تجنّب الارتهان لموفر واحد، والاستفادة من الخدمات الرائدة التي يقدمها كل موفر، والوفاء بالمتطلبات التعاقدية أو التنظيمية لتجنّب الاعتماد على موفر واحد، أو بسبب عمليات الاندماج والاستحواذ التي جمعت شركات اعتمدت معايير سحابية مختلفة. أصبحت السحابة المتعددة هي النمط السائد في المؤسسات الكبيرة اليوم.

تفرض السحابة المتعددة تحديات تشغيلية كبيرة: تشتّت المهارات — تحتاج الفرق إلى خبرة في منصات سحابية متعددة. حوكمة غير متسقة — لكل سحابة أدوات مختلفة لإدارة الهويات والوصول (IAM) والسياسات والامتثال. تعقيد الأمان — نماذج تهديد مختلفة، وخدمات أمان مختلفة، وسجلات تدقيق مختلفة. إدارة التكاليف — بوابات فوترة منفصلة، ووحدات تسعير مختلفة، وعدم وجود عرض موحّد للتكاليف عبر موفري الخدمات. تعقيد الشبكات — تترتب على حركة المرور بين السحب تكاليف خروج وزمن انتقال. تعالج Microsoft العديد من هذه التحديات باستخدام Azure Arc ودعم السحابة المتعددة في Defender for Cloud.

يعمل وكيل الجهاز المتصل نفسه Azure Arc الذي يُستخدم لإلحاق الخوادم المحلية بالمنصة أيضًا على الأجهزة الافتراضية التي تعمل في AWS EC2 أو Google Cloud Compute Engine أو أي سحابة أخرى. بعد تسجيل هذه الأجهزة الافتراضية باستخدام Arc، تظهر إلى جانب الموارد الأصلية في Azure ضمن مدخل ARM. ويمكنكم تطبيق Azure Policy، واستخدام Azure Monitor مع استعلامات KQL نفسها، وعرض توصيات الأمان من Defender for Cloud للأجهزة الافتراضية في AWS وGCP — من دون مغادرة مدخل Azure أو تعلّم أدوات خاصة بـ AWS.

يدعم Microsoft Defender for Cloud موصلات أصلية لكل من AWS وGoogle Cloud Platform. من خلال توصيل حساب AWS أو مشروع GCP، يستطيع Defender for Cloud تقييم الوضع الأمني لمثيلات EC2 وحاويات S3 وقواعد بيانات RDS وموارد GCP باستخدام إطار Secure Score نفسه الذي يستخدمه مع Azure. كما يربط النتائج بمعايير مثل CIS AWS Foundations Benchmark، ويكتشف أخطاء التكوين — مثل حاويات S3 المتاحة للعامة وأدوار IAM المفرطة في الصلاحيات — إلى جانب توصيات Azure في لوحة معلومات واحدة.

يمكن لـ Azure Cost Management + Billing استيعاب تكاليف AWS من خلال ربط تقرير التكلفة والاستخدام في AWS (CUR) بموصل Azure. ويعرض ذلك إنفاق AWS إلى جانب إنفاق Azure في طريقة عرض موحّدة لتحليل التكاليف، مما يتيح مقارنة التكاليف بين السحب وتوزيعها. ويمكنكم إنشاء ميزانيات وتنبيهات تمتد إلى كلا الموفرين، وتطبيق استراتيجية وضع العلامات نفسها لأغراض إظهار التكاليف أو تحميلها. وتُعدّ هذه الرؤية للتكاليف عبر السحب المتعددة قيّمة لفرق FinOps التي تدير الإنفاق عبر عدة موفرين من واجهة واحدة.

تستخدم العديد من استراتيجيات السحابة المتعددة Kubernetes كطبقة تجريد تعمل بالطريقة نفسها على أي سحابة. إذ تعمل AKS على Azure وEKS على AWS وGKE على GCP باستخدام Kubernetes القياسي. ويمكن لـ Azure Arc-enabled Kubernetes إدارة جميع هذه البيئات من Azure، مع تطبيق عمليات النشر المستندة إلى GitOps وAzure Policy (OPA Gatekeeper) بشكل متسق. كما يمكن سحب صور الحاويات المخزنة في Azure Container Registry من مجموعة Kubernetes في أي سحابة، مما يجعل Azure ACR مركزًا طبيعيًا لسجل الصور متعدد السحب.

تُعدّ Azure Landing Zone بيئة مهيّأة مسبقًا تطبّق أفضل ممارسات الحوكمة والهوية والأمان والشبكات. عند اعتماد السحابة المتعددة، توسّع المؤسسات مفهوم منطقة الهبوط لتحديد معايير تنطبق على جميع موفري الخدمات. ويتضمن Cloud Adoption Framework (CAF) من Microsoft إرشادات للسحابة المتعددة توضّح كيفية تنظيم تسلسلات هرميات لمجموعات الإدارة، واصطلاحات التسمية، واستراتيجيات وضع العلامات التي تعمل بشكل متسق سواء كان المورد موجودًا في Azure أو AWS أو محليًا.

يتطلب ربط أعباء العمل في Azure وAWS (أو GCP) إنشاء شبكات بين السحب. ومن الأنماط الشائعة: أنفاق VPN بين Azure VPN Gateway وAWS Virtual Private Gateway أو GCP VPN — وهي طريقة مباشرة، لكنها محدودة النطاق الترددي ومتفاوتة في زمن الانتقال. شبكة SD-WAN من جهة خارجية (مثل Megaport وEquinix Fabric) — تنشئ دوائر خاصة عابرة للسحب تشبه ExpressRoute. التكامل على مستوى التطبيق — تتواصل الخدمات عبر HTTPS من خلال نقاط نهاية عامة، وهو الخيار الأبسط لكنه يستخدم الإنترنت. وتجعل تكاليف النطاق الترددي الخارج في AWS وGCP نقل البيانات بكميات كبيرة بين السحب مكلفًا.

يمكن أن يعمل Microsoft Entra ID كموفر هوية (IdP) للوصول إلى بيئات السحابة المتعددة. بالنسبة إلى AWS، يمكنكم تكوين Entra ID as the SAML 2.0 IdP for AWS IAM Identity Center، مما يتيح للمستخدمين الوصول إلى وحدة تحكم AWS باستخدام بيانات اعتماد Entra ID والمصادقة متعددة العوامل (MFA) — من دون إنشاء مستخدمي AWS IAM منفصلين. ويمكن تطبيق اتحاد مماثل مع GCP. ويؤدي ذلك إلى توحيد حوكمة الهوية؛ إذ تتم إدارة عمليات انضمام المستخدمين وتغيير أدوارهم ومغادرتهم في Entra ID، وينتقل الوصول إلى جميع موفري الخدمات السحابية تلقائيًا.

تصبح ممارسات FinOps (العمليات المالية السحابية) أكثر تعقيدًا في بيئة السحابة المتعددة، لأن لكل موفر نماذج تسعير وآليات خصم ودقة فوترة مختلفة. ومن أفضل الممارسات: توحيد وضع العلامات عبر جميع موفري الخدمات لتوزيع التكاليف؛ واستخدام موصل AWS في Azure Cost Management + Billing للحصول على رؤية موحّدة؛ وإنشاء فريق FinOps يفهم المثيلات المحجوزة (Azure)، وخطط التوفير (AWS/Azure)، وخصومات الاستخدام الملتزم به (GCP)؛ وإجراء مراجعات دورية للتكاليف عبر موفري الخدمات لمقارنة تكلفة أعباء العمل المتكافئة.

قد تتسبب السحابة المتعددة في مشكلات إذا لم تتم إدارتها بعناية. ومن الأنماط المضادة الشائعة التي ينبغي تجنّبها: السحابة المتعددة العرضية — يؤدي استخدام سحب متعددة من دون استراتيجية إلى انتشار غير منضبط وتكاليف متزايدة. إرهاق المهارات — مطالبة جميع المهندسين بأن يكونوا خبراء في كل سحابة؛ وبدلًا من ذلك، عيّنوا مسؤولين عن السحابة لكل منصة. الأمان غير المتسق — تطبيق خطوط أساس أمنية مختلفة لكل سحابة؛ استخدموا Azure Arc وDefender for Cloud لفرض الاتساق. تجاهل تكاليف الخروج — تُفرض رسوم نقل البيانات بين السحب وفق معدلات الخروج لدى الموفر، وقد تفاجئ فرق FinOps.

اختبروا فهمكم لمفاهيم Microsoft Azure Fundamentals (AZ-900) الواردة في هذا الدرس.

تعلّمتم في هذا الدرس أن Azure Arc يوسّع إدارة Azure لتشمل الأجهزة الافتراضية في AWS وGCP باستخدام وكيل الجهاز المتصل نفسه، وأن موصلات السحابة المتعددة في Microsoft Defender for Cloud تعرض نتائج الأمان عبر موفري الخدمات ضمن Secure Score موحّد، وأن اتحاد Microsoft Entra ID يتيح تسجيل الدخول الأحادي إلى وحدات تحكم AWS وGCP باستخدام هوية مؤسسية واحدة. وبذلك تكتمل دورة Azure Hybrid and Multi-Cloud — وستنتقلون بعد ذلك إلى Well-Architected Framework لتقييم بنيات Azure وتحسينها.