Monipilvistrategiat Azuren kanssa

Monipilviympäristö tarkoittaa työkuormien käyttämistä useamman kuin yhden pilvipalveluntarjoajan ympäristössä — esimerkiksi siten, että useimmat palvelut ovat Azure-ympäristössä, mutta tietty koneoppimisalusta käyttää AWS:ää tai BigQuery-analytiikka Google Cloudia. Organisaatiot ottavat monipilviympäristöt käyttöön seuraavista syistä: toimittajalukon välttäminen, kunkin palveluntarjoajan parhaiden palveluiden hyödyntäminen, sopimus- tai sääntelyvaatimusten täyttäminen yhden palveluntarjoajan varaan joutumisen välttämiseksi tai se, että yritysfuusiot ja yritysostot ovat yhdistäneet yrityksiä, jotka olivat standardoineet eri pilvipalvelut. Monipilviympäristöt ovat nykyään suurissa yrityksissä tavallisia.

Monipilviympäristöt tuovat mukanaan merkittäviä operatiivisia haasteita: osaamisen hajautuminen — tiimit tarvitsevat asiantuntemusta useista pilvialustoista. Epäyhtenäinen hallinta — kullakin pilvipalvelulla on erilaiset IAM-, käytäntö- ja vaatimustenmukaisuustyökalut. Tietoturvan monimutkaisuus — erilaiset uhkamallit, erilaiset tietoturvapalvelut ja erilaiset auditointilokit. Kustannusten hallinta — erilliset laskutusportaalit, erilaiset hinnoitteluyksiköt eikä palveluntarjoajien yhteistä kustannusnäkymää. Verkon monimutkaisuus — pilvipalveluiden välinen liikenne aiheuttaa ulospäin suuntautuvan liikenteen kustannuksia ja viivettä. Microsoft ratkaisee monia näistä haasteista Azure Arcilla ja Defender for Cloudin monipilvituella.

Sama Azure Arc -yhdistetyn koneen agentti, jolla paikalliset palvelimet liitetään palveluun, toimii myös AWS EC2:ssä, Google Cloud Compute Enginessä tai missä tahansa muussa pilvipalvelussa toimivissa näennäiskoneissa. Kun näennäiskoneet on rekisteröity Arciin, ne näkyvät ARM-portaalissa Azure-alkuperäisten resurssien rinnalla. Voitte käyttää Azure Policyä, Azure Monitoria samoilla KQL-kyselyillä ja tarkastella Defender for Cloudin tietoturvasuosituksia AWS- ja GCP-näennäiskoneille — ilman Azure-portaalista poistumista tai AWS-kohtaisten työkalujen opettelua.

Microsoft Defender for Cloud tukee alkuperäisiä yhdistimiä palveluille AWS ja Google Cloud Platform. Yhdistämällä AWS-tilin tai GCP-projektin Defender for Cloud voi arvioida EC2-esiintymien, S3-säilöjen, RDS-tietokantojen ja GCP-resurssien tietoturvan tilaa samalla Secure Score -kehyksellä, jota se käyttää Azuressa. Se yhdistää havainnot standardeihin, kuten CIS AWS Foundations Benchmarkiin, ja havaitsee virheelliset määritykset (julkisesti käytettävissä olevat S3-säilöt ja liian sallivat IAM-roolit) Azure-suositusten rinnalla yhdessä koontinäytössä.

Azure Cost Management + Billing voi tuoda AWS-kustannukset järjestelmään yhdistämällä AWS Cost and Usage Report (CUR) -raportin Azure Connectoriin. Tällöin AWS:n kulut näkyvät Azure-kulujen rinnalla yhtenäisessä kustannusanalyysinäkymässä, mikä mahdollistaa pilvipalveluiden välisen kustannusvertailun ja kohdentamisen. Voitte luoda molemmat palveluntarjoajat kattavia budjetteja ja hälytyksiä sekä käyttää samaa tunnisteisiin perustuvaa strategiaa kustannusten kohdistamiseen ja sisäiseen raportointiin. Tämä monipilvikustannusten näkyvyys on arvokas FinOps-tiimeille, jotka hallitsevat useiden palveluntarjoajien kuluja yhdestä näkymästä.

Monissa monipilvistrategioissa Kubernetes toimii abstraktiokerroksena, joka toimii samalla tavalla missä tahansa pilvipalvelussa. AKS Azuressa, EKS AWS:ssä ja GKE GCP:ssä käyttävät kaikki standardinmukaista Kubernetesia. Azure Arc -yhteensopiva Kubernetes mahdollistaa niiden kaikkien hallinnan Azuresta sekä GitOps-pohjaisten käyttöönottojen ja Azure Policyn (OPA Gatekeeper) yhdenmukaisen soveltamisen. Azure Container Registryyn tallennettuja säilökuvia voidaan noutaa minkä tahansa pilvipalvelun Kubernetes-klusterista, joten Azure ACR toimii luontevasti monipilviympäristön kuvarekisterikeskuksena.

Azure Landing Zone on valmiiksi määritetty ympäristö, joka toteuttaa hallinnan, identiteetin, tietoturvan ja verkkoyhteyksien parhaat käytännöt. Monipilviympäristöä käyttöön otettaessa landing zone -käsite laajennetaan kattamaan standardit, joita sovelletaan kaikissa palveluntarjoajaympäristöissä. Microsoftin Cloud Adoption Framework (CAF) sisältää monipilviohjeita hallintaryhmähierarkioiden, nimeämiskäytäntöjen ja tunnistestrategioiden rakenteeseen niin, että ne toimivat yhdenmukaisesti riippumatta siitä, sijaitseeko resurssi Azuressa, AWS:ssä vai paikallisessa ympäristössä.

Azure- ja AWS- (tai GCP-) työkuormien yhdistäminen edellyttää pilvipalveluiden välistä verkkoyhteyttä. Yleisiä malleja ovat: VPN-tunnelit Azure VPN Gatewayn ja AWS Virtual Private Gatewayn tai GCP VPN:n välillä — yksinkertainen ratkaisu, mutta kaistanleveys on rajallinen ja viive vaihtelee. Kolmannen osapuolen SD-WAN (esimerkiksi Megaport tai Equinix Fabric) — muodostaa ExpressRouten kaltaisia yksityisiä pilvipalveluiden välisiä yhteyksiä. Sovelluskerroksen integrointi — palvelut viestivät HTTPS:n kautta julkisten päätepisteiden välityksellä (yksinkertaisin vaihtoehto, mutta käyttää internetiä). AWS:n ja GCP:n ulospäin suuntautuvan kaistanleveyden kustannukset tekevät suuren tietomäärän siirtämisestä pilvipalveluiden välillä kallista.

Microsoft Entra ID voi toimia monipilvikäytön identiteetintarjoajana (IdP). AWS:ää varten voitte määrittää Entra ID:n SAML 2.0 IdP:ksi AWS IAM Identity Centerille, jolloin käyttäjät voivat käyttää AWS-konsolia Entra ID -tunnistetiedoillaan ja MFA:lla — ilman erillisiä AWS IAM -käyttäjiä. GCP:ssä vastaava federaatio on mahdollinen. Tämä keskittää identiteetin hallinnan: käyttäjien liittyminen, roolien vaihtuminen ja poistuminen hallitaan Entra ID:ssä, ja käyttöoikeudet välittyvät automaattisesti kaikille pilvipalveluntarjoajille.

FinOps-käytännöt (Cloud Financial Operations) muuttuvat monipilviympäristöissä monimutkaisemmiksi, koska kullakin palveluntarjoajalla on erilaiset hinnoittelumallit, alennusmekanismit ja laskutuksen tarkkuustaso. Parhaita käytäntöjä ovat tunnisteiden yhdenmukaistaminen kaikilla palveluntarjoajilla kustannusten kohdentamista varten; Azure Cost Management + Billingin AWS-yhdistimen käyttö yhtenäisen näkyvyyden saavuttamiseksi; FinOps-tiimin perustaminen niin, että tiimi tuntee Reserved Instances (Azure)-, Savings Plans (AWS/Azure)- ja Committed Use Discounts (GCP) -mallit; sekä säännölliset palveluntarjoajien väliset kustannuskatselmukset, joissa verrataan vastaavien työkuormien kustannuksia.

Monipilviympäristö voi aiheuttaa ongelmia, jos sitä ei hallita huolellisesti. Yleisiä vältettäviä virheellisiä toimintamalleja ovat: tahattomasti syntynyt monipilviympäristö — useiden pilvipalveluiden käyttäminen ilman strategiaa johtaa hallitsemattomaan hajautumiseen ja kustannuksiin. Osaamisen ylikuormittaminen — kaikkien insinöörien edellyttäminen jokaisen pilvipalvelun asiantuntijoiksi; nimetkää sen sijaan kullekin alustalle oma pilvipalveluvastaava. Epäyhtenäinen tietoturva — eri tietoturvan perustasojen soveltaminen eri pilvipalveluissa; käyttäkää Azure Arc- ja Defender for Cloud -palveluita yhdenmukaisuuden varmistamiseen. Ulospäin suuntautuvan liikenteen kustannusten sivuuttaminen — pilvipalveluiden välisestä tiedonsiirrosta veloitetaan palveluntarjoajan ulospäin suuntautuvan liikenteen hinnaston mukaan, mikä voi yllättää FinOps-tiimit.

Tässä oppitunnissa opitte, että Azure Arc laajentaa Azure-hallinnan AWS- ja GCP-näennäiskoneisiin saman yhdistetyn koneen agentin avulla, Microsoft Defender for Cloudin monipilviyhdistimet kokoavat eri palveluntarjoajien tietoturvahavainnot yhtenäiseen Secure Score -näkymään ja Microsoft Entra ID -federaatio mahdollistaa kertakirjautumisen AWS- ja GCP-konsoleihin yhdellä organisaation identiteetillä. Tämä päättää Azure Hybrid and Multi-Cloud -kurssin — seuraavaksi käsitellään Well-Architected Frameworkia Azure-arkkitehtuurien arviointia ja parantamista varten.